脆弱性情報（JVN）検索・一覧

Linuxカーネルにおいて、net: af_keyのPF_KEYエクスポートでゼロ初期化されていないアラインドsockaddrの末尾に関する脆弱性が修正されました。PF_KEYのエクスポート経路はsockaddrペイロード領域確保時にpfkey_sockaddr_size()を使用し、IPv6アドレスがワイヤ上で32バイトを占めるにもかかわらず、pfkey_sockaddr_fill()はstruct sockaddr_in6の最初の28バイトしか初期化せず、最後の4バイトが未初期化のままでした。この問題はすべてのPF_KEYメッセージに影響するわけではなく、特にSADB_ACQUIRE、SADB_X_NAT_T_NEW_MAPPING、およびSADB_X_MIGRATEのエクスポート経路で発生しました。これらの経路では、pfkey_sockaddr_fill()の後に未初期化のアラインドsockaddrの末尾部分をクリアする修正が適用されました。

Linuxカーネルにおいて、次の脆弱性が修正されました：xfrm_userのbuild_mapping()関数における情報漏洩の問題です。struct xfrm_usersa_idにはprotoフィールドの後に1バイトのパディングホールが存在しており、この部分がユーザースペースにコピーされる前にゼロクリアされていませんでした。この問題を解決するため、構造体全体を個々の変数を設定する前にゼロクリアするよう修正しました。

Linuxカーネルにおけるnouveauドライバの脆弱性について説明します。デバイスがスリープ状態の場合にaux転送がEBUSYエラーを返すように変更されました。これにより、ランタイムサスペンド中にユーザー空間が/dev/drm_dp_*を使用しようとした際のクラッシュを防ぎ、デバイスのビジー状態を正しく通知します。簡易的な修正がバックポートされており、適切な電源ドメイン設計とファームウェアアップデート中のデバイス起動対策が必要です。

Linuxカーネルにおいて、以下の脆弱性が修正されました。batman-advではdouble-rtnl_lockの問題がありました。ELPメトリックワーカーを回避するため、batadv_v_elp_get_throughput()がRTNLロックを既に保持している場合に呼び出されることがあります。これはbatadv_v_elp_iface_disable()内でcancel_delayed_work_sync()によってワークキューのアイテムがキャンセルされた場合に問題となる可能性があります。この場合、rtnl_lock()を呼び出すとデッドロックが発生します。この問題を回避するために、この関数ではrtnl_trylock()を使用して、RTNLロックが既に保持されている際にはethtool情報の取得をスキップするようにしました。しかし、cfg80211インターフェースの場合はbatadv_get_real_netdev()が呼び出されており、こちらもrtnl_lock()を使用しています。__ethtool_get_link_ksettings()で用いられている手法を適用して、ロックレス版の__batadv_get_real_netdev()を呼び出す必要があります。

Linuxカーネルのstagingドライバーrtl8723bsにおいて、rtw_get_ie_ex()内のデータ検証が不十分である問題が修正されました。フレーム内のデータを適切に検証し、範囲外読み取りを防止するための改善が行われています。

Linuxカーネルにおける脆弱性が修正されました。この問題はmemfdのライブアップデート機能に関連しており、フォリオの状態管理に不備がありました。具体的には、あるフォリオがクリーンと誤って認識され、メモリ不足時に誤って解放される可能性があったため、ユーザーデータが失われる危険性がありました。この修正では、すべてのフォリオをダーティとしてマークすることで、誤った解放を防止しています。これにより、memfdライブアップデートの信頼性が向上し、データの整合性が保たれています。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nstreeのリスト表示に関する権限チェックが強化されました。特権サービスであっても、必ずしも他の特権サービスの名前空間を見ることができてはいけません。そうしないと、情報が相互に漏洩する可能性があります。nstreeが適用されるまで、このポリシーを集中管理するmay_see_all_namespaces()ヘルパーを使用してください。

Linuxカーネルにおいて、以下の脆弱性が修正されました。sched_ext: fairクラスの飽和状態で発生するscx_enable()のスターベーションを修正しました。scx_enable()の間、READYからENABLEDへのタスク切り替えループは呼び出しスレッドのsched_classをfairからextに変更します。fairクラスはextより優先度が高いため、fairクラスのワークロードが飽和するとenableスレッドが無期限にスターベーションし、システムがハングする可能性があります。この問題はenableパスがpreempt_disable()からscx_bypass()に切り替わった際に導入されましたが、scx_bypass()はfairクラスのスターベーションを防げません。なお、元のpreempt_disable()の保護も完全ではなく、部分的な切り替えモードにおいてはpreempt_enable()後に呼び出しスレッドがextクラスに切り替わり、スターベーションが発生する可能性がありました。これを修正するため、enableの本体処理をfairクラスまたはextクラスのタスクによってスターベーションされない専用のシステム全体のRT（SCHED_FIFO）kthreadにオフロードします。scx_enable()は初回使用時にkthreadを遅延的に生成し、opsポインタをkthread_workを含むstruct scx_enable_cmd経由で渡し、同期的に完了を待ちます。workfnはsch-helper（disable_workを実行）とは異なるkthread上で動作するため、エラー時のパスでデッドロックなくdisable_workを安全にフラッシュできます。

Linuxカーネルにおいて、以下の脆弱性が修正されました。btrfsでは、btrfs_chunk_map_num_copies()の後にbtrfs_map_block()で発生していたチャンクマップのリークを修正しました。また、btrfs_map_block()内のチャンクマップリークも修正しました。具体的には、-EINVALで早期に戻る場合に直前に参照したチャンクマップを解放していなかった問題を解決しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：nfsd_nl_listener_set_doit()関数内のcred参照リークを修正しました。nfsd_nl_listener_set_doit()はput_cred()を伴わずにget_current_cred()を使用していました。他の呼び出し元を見ると、svc_xprt_create_from_sa()では追加のリファレンスカウントが不要であることがわかります。nfsd_nl_listener_set_doit()は常にプロセスコンテキスト（sendmsg()）内で実行され、current-credは消失しません。したがって、nfsd_nl_listener_set_doit()ではcurrent_cred()を使用するように変更しました。

Linuxカーネルにおいて、powerpcのperfサブシステムに脆弱性が存在していました。ユーザーコールチェーンを取得する前にcurrent-mmが有効であることを確認していなかったため、mmが既に解放されている場合にカーネルパニックが発生する可能性がありました。本修正ではcurrent-mmに対するNULLチェックを追加して問題を解決し、profiling BPFプログラム実行時のカーネルパニックの発生を防止しています。また、トップレベルのスタックエントリの格納処理をgeneric perf_callchain_userに移動し、current-mmがNULLでもトップレベルのエントリを取得できるようにしています。

Linuxカーネルにおいて、sched/mmcidのvfork()/CLONE_VMの処理に不具合がありました。MatthieuとJiriは、スケジューリング時にmm_get_cid()が無限ループする問題を報告しました。調査の結果、vfork()されたタスクを処理する際にタスクが二重にカウントされ、正しいCIDを取得できずにマシンが停止することが判明しました。この問題は、タスクカウント条件を削除し、タスクリスト全体を正確に走査する方法で修正されました。

Linuxカーネルのsched/mmcidにおいて、同時に発生するforkによるCIDのスタールを防止するための修正が行われました。新たにforkされたタスクはプロセスのスレッドリストおよびグローバルタスクリストに表示される前にMMCIDユーザーとしてカウントされないため、CIDの割り当てに問題が生じ、一部のスケジューリングでスタールが発生する可能性がありました。この問題を解決するために、新しいタスクがスレッドリストおよびタスクリストに表示された後にCIDのカウント処理を移動し、exitの場合と対応する形でCIDユーザーの追加と削除を行うことで、安定した動作を実現しました。

Linuxカーネルにおいて、以下の脆弱性が修正されました：cephのceph_mdsc_build_path()関数におけるメモリリークを修正しました。__getname()で取得した「path」ポインタを解放しなかったエラーコードパスに、__putname()の呼び出しを追加しました。このポインタの所有権がpath_info.pathを介して呼び出し元に渡されない場合、関数は返す前に必ずそれを解放します。

Linuxカーネルにおいて、以下の脆弱性が修正されました。cephの非同期unlink中に発生するi_nlinkアンダーランの問題の修正です。非同期unlinkの間、完了（最終的にi_nlinkを更新する処理）が来る前にi_nlinkカウンターを減少させてしまいます。これは「unlinkが成功すると仮定している」ために起きていました。この方法は悪い考えではありませんが、他のクライアントによる削除（または自身のunlinkの完了）と競合し、以下のようなWARNINGを引き起こすアンダーランとなります。具体的には、WARNING: CPU: 85 PID: 25093 at fs/inode.c:407 drop_nlink+0x50/0x68 という警告が表示されます。ceph_unlink()内ではceph_mdsc_submit_request()がCEPH_MDS_OP_UNLINKのリクエストをMDSに送信しますが、完了を待ちません。この呼び出しと後続のdrop_nlink()呼び出しの間に、ワーカースレッドがCEPH_CAP_OP_IMPORT、CEPH_CAP_OP_GRANT、またはCEPH_MSG_CLIENT_REPLY（自身の完了の可能性あり）を処理する可能性があります。その結果、set_nlink()が呼ばれ、MDSから受け取った値でi_nlinkカウンターが更新されます。もし新しいi_nlinkの値が0の場合、それ以上の減少は違法ですが、ceph_unlink()は減少処理を行ってしまいます。WARNINGは次の手順で再現可能です。1. 非同期unlinkを強制します。非同期経路のみが影響を受けます。Ceph内部の詳細は不明ですが、MDSが「Fxr」権限を与えない理由はわかっていません。そこでget_caps_for_async_unlink()を常に成功するようにパッチしました。（このWARNINGは未パッチのカーネルでも発見されており、理論上のバグではありません。）2. ceph_mdsc_submit_request()の後にsleepを挿入し、unlink完了処理がdrop_nlink()の前にワーカースレッドで処理されるようにします。これによりdrop_nlink()実行前にi_nlinkが既に0となります。解決策としては、カウンターがすでに0の場合は減算をスキップすることですが、ロックなしでは依然として競合状態（TOCTOU問題）が発生します。ceph_fill_inode()とhandle_cap_grant()は共にset_nlink()実行中にceph_inode_info.i_ceph_lockスピンロックを保持しているため、このロックでi_nlinkの更新処理を保護することが適切だと考えられます。類似の先行例としてはNFSやSMB（inode.i_lock使用）、AFS（afs_vnode.cb_lock使用）があり、これらはいずれもゼロチェックを行っています。

Linuxカーネルのusb gadget f_ncmにおいて、net_deviceのライフサイクル管理の不備が修正されました。この不備により、net_deviceが親gadgetデバイスよりも長く存在してしまい、その結果システムファイルシステムのリンク切れやNULLポインタ参照が発生していました。従来の対策は電源管理の問題やDHCPサーバの障害を引き起こしていたため、device_move関数を用いてbind/unbindサイクル中にnet_deviceを適切に再親子付けする方法に変更されました。さらに、USB再接続時にもネットワークインターフェースを維持し、DHCPサーバのバインディングを保持する手法に改められました。これらの変更により、ネットワーク機能の安定性が向上しました。

Linuxカーネルにおいて、USBのレガシーNCMドライバのgncm_bind関数にNULLポインタ参照の脆弱性が修正されました。この脆弱性は、net_deviceが完全に初期化される前にアクセスされることが原因で発生していました。qmult、host_addr、dev_addrの値を適切に管理することで、この問題に対応しました。

Linuxカーネルにおいて、usb: gadget: f_ncmドライバの原子コンテキストでのロック問題が修正されました。ncm_set_alt関数はconfigfsとの競合を避けるためミューテックスを保持していましたが、configfsは原子コンテキストでスリープ可能な関数を呼び出していました。この問題を解決するためにf_ncm_opts構造体からstruct net_deviceポインタを削除し、新しいブール型の接続状態フラグで管理するように変更しました。この修正により、USBエンドポイントのトランスポートエラー後のuse-after-free問題も防止されます。これにより、BUG: 不正なコンテキストからスリープ関数が呼び出される問題が解消されます。

Linuxカーネルにおいて、次の脆弱性が修正されました：rust_binderのonewayスパム検出の修正です。TreeRangeのスパム検出ロジックは、現在のリクエストがツリーに挿入される前に実行されていました。そのため、新しいリクエストがスパム計算に考慮されていませんでした。これを、新しい範囲が挿入された後にロジックを移動することで修正しました。また、ArrayRangeの検出ロジックが完全に欠落しており、大量のスパムトランザクションが検出されない問題がありました。これを、ArrayRangeに同等のlow_oneway_space()を実装することで修正しました。なお、このロジックをRangeAllocatorに集約しようと試みましたが、stateとsizeの反復処理が私には少し複雑すぎたため、この試みは断念しました。

Parse ServerはNode.jsを実行できるあらゆるインフラにデプロイ可能なオープンソースのバックエンドです。8.6.76以前および9.9.0-alpha.2より前のバージョンでは、MFAのSMSワンタイムパスワード（OTP）ログインパスにおいて競合状態が存在しており、同じOTPを含む2つの同時/loginリクエストが両方とも成功し、有効なセッショントークンを両方が受け取ることができました。そのため、OTPの一回限りの使用特性が破られていました。この脆弱性は、攻撃者が既に被害者のパスワードを所持し、アクティブなSMS OTPを傍受（例：SIMスワップ、ネットワークミラー、フィッシング中継）し、正当なログイン要求と競合させる必要があるため、実際の攻撃範囲は狭いです。この脆弱性は8.6.76および9.9.0-alpha.2で修正されました。

Apache CXFのWS-Transferモジュールにおいて、安全でないXMLパーサーの設定によって攻撃者がXXE攻撃を実行する可能性があります。本問題を修正したバージョン4.2.1、4.1.6、または3.6.11にアップグレードすることを推奨します。

Snipe-ITはIT資産およびライセンス管理システムです。8.4.1以前のバージョンでは、コンポーネントの表示権限を持つユーザーが、エスケープされていないノート列によりクロスサイトスクリプティング（XSS）の影響を受ける可能性がありました。この脆弱性はバージョン8.4.1で修正されています。

Mattermost のバージョン 11.6.x のうち 11.6.0 以下、11.5.x のうち 11.5.3 以下、11.4.x のうち 11.4.4 以下、10.11.x のうち 10.11.14 以下において、永続的な通知を削除する前にチャンネルをアーカイブできない問題があります。この問題により、認証されたユーザーは既存の永続的な通知を削除するサーバーの処理とチャンネルのアーカイブ処理の間で永続的通知メッセージの作成のタイミングを調整し、サーバーをクラッシュさせることが可能です。Mattermost 警告 ID は MMSA-2026-00637 です。

Mattermostのバージョン11.6.x（11.6.0以下）、11.5.x（11.5.3以下）、11.4.x（11.4.4以下）、10.11.x（10.11.14以下）は、APIリクエストハンドラ内でユーザー提供の入力を適切に検証しません。そのため、認証された攻撃者が細工されたHTTPリクエストをPR詳細エンドポイントに送信すると、プラグインプロセスをクラッシュさせることが可能です。

不適切なアクセスチェックにより、権限の低いユーザーが既存のスケジューラータスクのタスクタイプを編集可能になりました。

checkAttributeメソッド内の不十分なコンテンツフィルタリングにより、さまざまなコンポーネントでXSSの脆弱性が発生します。

入力フィルタリングが欠如しているため、HTMLフィルターコードにXSSの脆弱性が発生します。

Inkscape 1.1より前のバージョンにおけるXInclude処理コンポーネントにローカルファイル情報漏洩の脆弱性が存在します。悪意のあるxi:includeタグを含む細工されたSVGファイルを介して、リモートの攻撃者がローカルファイルを読み取ることが可能となります。

Devolutions Serverの通知管理エンドポイントにおいて不適切なアクセス制御が存在し、認証されていない攻撃者がセッション検証が欠如している点を悪用して、任意のユーザー通知レコードを変更または削除できる可能性があります。この問題はDevolutions Serverのバージョン2026.1.6.0から2026.1.15.0まで、および2025.3.19.0以前のバージョンに影響します。

Devolutions Serverのエントリアクティビティログ機能における不適切なアクセス制御により、エントリへのアクセス権を持つ認証ユーザーが、必要な権限がなくても細工されたAPIリクエストを介してそのエントリのアクティビティログを取得できる可能性があります。この問題はDevolutions Serverの特定のバージョンに影響を及ぼします。

Mattermostのバージョン11.6.x = 11.6.0、11.5.x = 11.5.2、11.5.x = 11.5.3、11.4.x = 11.4.4、10.11.x = 10.11.14は、メモリ割り当て前に画像ヘッダー内のTIFF IFDオフセットを検証しません。そのため、ファイルアップロードまたは投稿権限を持つ認証ユーザーが細工されたTIFFファイルをアップロードしたり、TIFFファイルを提供するURLを投稿したりすることで、サービス拒否（サーバーのOOM）を引き起こす可能性があります。

Concrete CMS 9.5.0以下には、使用コントローラーにおける権限チェックの欠如により、認証されていないファイル使用情報が漏洩する脆弱性があります。認証されていない訪問者は、任意のファイルIDを指定して /ccm/system/dialogs/file/usage/{fID} にリクエストを送信することで、そのファイルを参照しているすべてのページの一覧（ページID、ハンドル、完全なURLを含む）を取得できます。これには、権限によって制限されているページも含まれます。Concrete CMSのセキュリティチームは、この脆弱性に対してCVSS v4.0でスコア6.9（ベクター: CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:L/VI:N/VA:N/SC:N/SI:N/SA:N）を付けました。報告者のEldudareenoに感謝しています。

悪意のある細工が施されたPARファイルがAutodesk 3ds Maxで解析されると、NULLポインタ参照の脆弱性が引き起こされる可能性があります。これが成功すると、アプリケーションがクラッシュし、サービス拒否（DoS）状態を引き起こします。

悪意を持って細工されたWRLファイルがAutodesk 3ds Maxで解析されると、スタック消耗の脆弱性が引き起こされ、サービス拒否状態になる可能性があります。

pgAdmin 4のBrowser TreeおよびExplain Visualizerモジュールにおいて、保存型クロスサイトスクリプティング（XSS）脆弱性が存在しました。ユーザーが制御可能なPostgreSQLのオブジェクト名（データベース、スキーマ、テーブル、カラムなど）がinnerHTMLを介してDOM要素に割り当てられており、HTMLマークアップを含む細工されたオブジェクト名によって、悪意あるオブジェクトに対してEXPLAINを実行したり、該当オブジェクトにナビゲートしたpgAdminユーザーのブラウザー上で攻撃者のJavaScriptが実行される可能性がありました。修正ではinnerHTMLをtextContentに置き換えています。この問題はpgAdmin 4のバージョン9.15未満に影響します。

pgAdmin 4のLLM API設定エンドポイントにおけるローカルファイルインクルージョン（LFI）およびサーバーサイドリクエストフォージェリ（SSRF）の脆弱性です。ユーザーが提供するapi_key_fileおよびapi_urlの設定は検証なしにLLMプロバイダクライアントに渡されていました。認証されたユーザーは、api_key_fileをpgAdminプロセスで読み取り可能な任意のパスに指定することでサーバー側の任意のファイルを読み取ったり、api_urlを設定してchat pathおよびmodel-listエンドポイントを悪用し、クラウドメタデータサービス（例：169.254.169.254）などの内部ターゲットへリクエストを強制的に送信させることが可能でした。修正では、api_key_fileをユーザーのプライベートストレージ（サーバーモード）またはホームディレクトリ（デスクトップモード）に制限し、印刷可能なASCII文字列の形式と1024バイトの読み取り上限を設けました。また、api_urlは設定可能な許可リスト（config.ALLOWED_LLM_API_URLS）に基づき各エントリーポイントで検証されるようになっています。本脆弱性はpgAdmin 4のバージョン9.15より前に影響を及ぼします。