JVNDB-2026-001046

 Apache Software FoundationのApache NuttXにおける無効なポインタや参照の解放に関する脆弱性

Apache NuttX RTOSのfs/inode/fs_inoderemoveコードには、無効なポインタや参照の解放に関する脆弱性が存在します。この脆弱性が悪用されると、ルートファイルシステムのinode削除時にデバッグアサートが発生したり、NULLポインタ参照やサービス拒否（DoS）状態に陥ったりする可能性があります。バージョン10.0.0から12.10.0未満のApache NuttX RTOSが影響を受けます。ネットワーク経由で書き込み可能なファイルシステムサービス（FTPなど）を利用している場合は、脆弱性を修正したバージョン12.10.0へアップグレードすることが推奨されます。

Apache Software Foundation

• Apache NuttX 10.0.0 以上 12.10.0 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報について、外部への漏えいは発生しません。
また、当該ソフトウェアが扱う情報について、書き換えは発生しません。
さらに、当該ソフトウェアが完全に停止する可能性があります。
そして、この脆弱性を悪用した攻撃の影響は、他のソフトウェアには及びません。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

Apache Software Foundation

• Pony Mail : CVE-2025-48768: Apache NuttX RTOS: fs/inode: fs_inoderemove root inode removal-Apache Mail Archives

Openwall

• Openwall mailing list archives : oss-security - CVE-2025-48768: Apache NuttX RTOS: fs/inode: fs_inoderemove root inode removal

1. 無効なポインタや参照の解放(CWE-763) [その他]

1. CVE-2025-48768

1. National Vulnerability Database (NVD) : CVE-2025-48768
2. 関連文書 : fs/inode: Fix inoderemove when removing an inode without parent by acassis  Pull Request #16437  apache/nuttx  GitHub

• [2026年01月08日]
    掲載