| タイトル | FreeBSDにおける権限管理に関する脆弱性 |
|---|---|
| 概要 | cap_netサービスの場合、古い制限に存在していたキーが新しい制限から省略された場合、省略されたキーは拒否されるのではなく「すべて許可」として扱われていました。特定のシナリオでは、以前にネットワーク操作のサブセットを制限していたアプリケーションが、プロセスの権限を拡張するために新しい制限を要求することがありました。 |
| 想定される影響 | 当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。 また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。 さらに、当該ソフトウェアは停止しません。 そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。 |
| 対策 | 正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。 |
| 公表日 | 2026年5月21日0:00 |
| 登録日 | 2026年5月25日10:19 |
| 最終更新日 | 2026年5月25日10:19 |
| CVSS3.0 : 警告 | |
| スコア | 6.5 |
|---|---|
| ベクター | CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N |
| FreeBSD |
| FreeBSD 14.3 |
| FreeBSD 14.4 |
| FreeBSD 15.0 |
| No | 変更内容 | 変更日 |
|---|---|---|
| 1 | [2026年05月25日] 掲載 |
2026年5月25日10:19 |
| 概要 | In the case of the cap_net service, when a key present in the old limit was omitted from the new limit, the missing key was treated as "allow any" instead of being rejected. In certain scenarios, an application that had previously restricted a subset of network operations could ask for a new limit that extended the permissions of the process. |
|---|---|
| 公表日 | 2026年5月21日19:16 |
| 登録日 | 2026年5月22日4:07 |
| 最終更新日 | 2026年5月22日1:16 |