セキュリティ
日曜から月曜にかけての一斉公開が、AI支援によるバグ報告説を勢いづけています
Linuxのセキュリティ対応を担当している方は、今週いきなり大量の仕事を抱え込むことになったのではないでしょうか。今週の日曜から月曜にかけて、Linuxカーネルの脆弱性432件分のCVEが一斉に公開されました。Linuxウォッチャーであるnix Craftが月曜の朝にこの件数の多さを指摘すると、間もなくベテランのシステム管理者たちからも懸念の声が上がり始めました。
Akamai Technologiesのチーフ情報セキュリティアーキテクトを務めるJan Schaumann氏は火曜、OSS-SECメーリングリストに投稿し、ここ数日で公開されたLinuxカーネルのCVEの件数の多さに懸念を表明しました。同氏はこの投稿の中で、CVE制度がセキュリティ上の変更を追跡する上で最適な仕組みとは言えないと指摘するとともに、これほど大量のカーネルセキュリティ問題にうまく対処する方法があるのかどうか疑問を呈しています。
「これほど大量の一斉公開を見ると、個々のカーネルの変更に優先順位を付けようとすること自体が現実的ではないとよく分かります」とSchaumann氏は述べています。
「LLMに受信内容を読ませて優先順位付けを依頼するという方法も考えられるでしょう」と同氏は提案しつつも、「ただ、今日は十数件、翌日にはさらに25件という具合に吐き出されてくるようでは、大した効果は得られません」と続けています。
Schaumann氏はまた、どの脆弱性が深刻な問題として浮上してくるかを見極めた上で、今後数週間はそうした案件に注力するという方法や、あるいはLinuxマシン全体を週次で一括アップデートするという方法も提案しています。
「そうできれば本当にありがたいのですが、現実はそう甘くありません」とSchaumann氏は述べています。「今後どう対処すべきか、正直まだ分かりません」
Schaumann氏はThe Register宛のメールの中で、パッチ適用のために脆弱性を一件ずつ精査する作業はこれまでもすでに十分に困難だったが、この規模まで達した今、自動化以外に選択肢はないかもしれないとしつつも、それが決して望ましい解決策ではないと述べています。
「一定の許容範囲内の期間に含まれる変更をすべて取り込む形での、自動的かつ定期的で頻繁なアップデートこそが、私に思い付く唯一の現実的なアプローチです。ただ、多くの大企業にとってこれは非常に難しいことでもあります」とSchaumann氏は説明しています。そうした企業では、長時間を要するQAプロセスや、慎重で段階的な開発サイクルに依存していることが多く、さらには長期サポートに関する契約上の要件を抱えている場合もあるため、自動化によるアプローチの導入が事実上不可能なケースも少なくありません。
nixCraftチームはソーシャルメディア上で、これだけ大量のカーネルCVEが発生している背景にはAIによるバグ報告がある可能性が高いと推測しています。これは前例のない話ではありません。Linus Torvalds氏自身も5月、AI支援によるバグハンティングの影響でLinuxカーネルのセキュリティメーリングリストが「ほぼ手に負えない状態」になっていると述べています。とはいえTorvalds氏は、AIが保守担当者にとって作業負荷の面でも「きまりの悪いバグを次々に見つけ出してくる」という点でも負担になり得ると認めつつ、それでもAIをLinux開発における有用なツールだと評しています。
ここで理解しておく価値があるのは、Linuxカーネルにおける「CVE」が実際には何を意味するのかという点です。日曜から月曜にかけて公開された脆弱性の多くは、影響範囲が小さいものではあるものの、それでも紛れもなく脆弱性には変わりありません。
Linuxの上級保守担当者であるGreg Kroah-Hartman氏が2月のブログ投稿で述べているとおり、Linuxカーネルの CVEチームはCVEプログラムが定める脆弱性の定義、すなわち「製品の機密性・完全性・可用性に悪影響を及ぼしうる欠陥」という基準に従っています。
「Linuxカーネルが動作するレベルにおいては、稼働中のシステムに影響を及ぼしうるほぼあらゆる種類のバグが脆弱性に分類され得ます」とKroah-Hartman氏は指摘しています。同氏によれば、カーネルチームは安定版カーネルリリースに加えられるすべてのバグ修正を確認しており、その修正がCVEの基準を満たす問題を解消するものであれば、CVEが割り当てられるとのことです。
AI支援によるバグハンティングは、Linuxカーネルの保守担当者に届く報告の件数を増加させています。私たちはLinuxカーネルチームに問い合わせましたが、返答は得られませんでした。もっとも、Kroah-Hartman氏は今年初め、The Registerに対し、AIによるバグ報告が近年、価値のあるものになってきていると語っており、今後もこうした報告が自身の業務負担を増やし続ける可能性が高いとの見通しを示していました。
残念ながら、Linuxのシステム管理者たちが今置かれているこの厄介な状況を、簡単に解決する手立てはありません。CVEは、特に短期間で数百件も公開されるような場合、セキュリティアップデートを追跡し優先順位を付ける方法としては扱いにくい面がありますが、それに代わるより良い仕組みがない以上、どの脆弱性が自分たちのシステムに影響し、どのカーネルアップデートを適用すべきかを判断する作業は、結局IT部門やセキュリティチームに委ねられることになります。
コーヒーメーカーは満タンにしておいた方がよさそうです。ここ最近のパッチサイクルの傾向を見る限り、この一斉公開の勢いが緩む気配はなさそうです。®
