CVE-2026-53264として追跡されている、新たに公表されたLinuxカーネルのゼロデイ脆弱性は、ローカル環境からroot権限への昇格に悪用される可能性があります。
この不具合はnet/schedパケットスケジューリングサブシステムに影響を与えるもので、ゼロデイ探索とエクスプロイト開発におけるAIの支援によって発見されたと報告されています。
この脆弱性はその後Linux安定版ツリーで修正されましたが、今回の研究は、複雑なカーネルコードにおける脆弱性発見をAIが加速させている実態を浮き彫りにしています。
問題の核心にあるのは、共有トラフィック制御アクションをインデックスで検索する関数tcf_idr_check_alloc()におけるロックの不整合が引き起こすuse-after-free（解放済みメモリ使用）です。
Lee Jia Jie氏によると、カーネルはrcu_read_lock()の下でアクション検索を行う一方、アクションオブジェクトはRCUグレースピリオドを待つことなく別のロックの下で解放される場合があるとのことです。
これにより、解放済みのtc_actionオブジェクトが参照カウントのチェック前に再利用されてしまうレースウィンドウが生じ、制御されたメモリ破壊への道が開かれます。
この脆弱なパスには、より強い権限を必要とするRTM_NEWACTIONではなく、RTM_NEWTFILTERおよびRTM_DELTFILTERのnetlink操作を通じて到達可能でした。
攻撃を成立させるには、非特権ユーザー名前空間が有効になっている必要があり、これにより攻撃者は分離された名前空間内でCAP_NET_ADMIN権限を取得できます。
また、このエクスプロイトはclsactキューイングディシプリンやflowerフィルターといった特定のトラフィック制御コンポーネントに依存しており、これによってアクセスをシリアライズしてしまいレースを狙いにくくするカーネルパスを回避しています。
Jia Jie氏によれば、AIはバグの発見、KASANプルーフ・オブ・コンセプトの生成、レースコンディションの最適化など、作業のいくつもの段階を高速化するのに役立ったといいます。
最終的なエクスプロイトでは、同一のアクションインデックスに対して動作する複数のbinderスレッドと1つのdeleterスレッドを使用し、テストではレース発生までの時間を15分以上からおよそ5秒にまで短縮しました。
そこから、KEYCTL_UPDATE経由でトリガーされるuser_key_payloadの割り当てを利用して解放済みのkmalloc-256オブジェクトを再利用し、最終的に命令ポインタの制御を獲得、CentOS Stream 9デスクトップシステム上で信頼性の高いroot権限昇格チェーンを確立しました。
攻撃後の処理ではcore_patternを上書きしており、これはカーネルがコアダンプハンドラーとして攻撃者が制御するバイナリをroot権限で実行してしまう、よく知られた手法です。
CentOS 9での繰り返しテストではエクスプロイトは一貫して成功しましたが、実行時間はCPUの状態やチューニングによって変動しました。
Lee Jia Jie氏は、この手法は対象環境では信頼性が高かったものの、ハードコードされたROPガジェットのオフセットに依存しているため、異なるカーネルビルド間での移植性は低くなると指摘しています。
今回の公表が注目されるのは、脆弱性そのものの影響の大きさだけでなく、コードレビューからエクスプロイト開発までの道のりをAIが大幅に短縮しつつあるという、広がりつつある傾向を裏付けている点にもあります。Linuxカーネルのように複雑な対象であっても、その傾向は例外ではありません。
Jia Jie氏は、AIには依然として推論の甘さや盲点があると注意を促していますが、今回の研究は、成熟したオープンソースのコードベースにおいてもレースコンディションやメモリ安全性の欠陥、エクスプロイトのプリミティブがより速いペースで発見されるようになることを、防御側は見込んでおくべきだと示唆しています。
非特権ユーザー名前空間を有効にした状態でLinuxデスクトップやサーバーを運用している組織は、直ちにカーネルのバージョンを確認し、CVE-2026-53264に対するパッチを適用する必要があります。
セキュリティチームはまた、不審なnetlinkアクティビティやcore_patternへの予期しない変更にも注意を払うべきです。これらは能動的な悪用の試みを示している可能性があります。
SOC調査の死角を減らすANY.RUNで脅威をより早く封じ込め、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/ai-helps-discover-linux-kernel-zero-day/
