ローカルで悪用可能なLinuxの脆弱性群が、root権限の完全な乗っ取りを狙った実戦投入可能なコードへと姿を変えました。NebuSecは一連の重大なカーネル脆弱性を公表するとともに、完全に機能するエクスプロイトを公開し、openSUSE、Debian、RHEL、Ubuntu、Fedora、Arch、Androidの各環境で綿密に動作検証を行っています。
深刻な脅威「ZcopyReaper」
今回明らかになった不具合の中でも代表格となるのが、「ZcopyReaper」と名付けられた脆弱性で、正式にはCVE-2026-43502として登録されています。Linux CNAはこの脆弱性にCVSS 3.1で7.8という深刻なスコアを割り当てました。この重大なエラーはRDSおよびゼロコピー処理の仕組みに影響を及ぼします。送信に失敗した際、カーネルがピン留めされたメモリページを誤って解放してしまうため、ローカルユーザーはこのメモリ破損を悪用し、最高権限であるroot権限での任意コード実行へとつなげることが可能です。
重要な点として、ZcopyReaperの悪用には特別な権限（capability）もユーザー名前空間も一切必要ありません。ローカルアクセスと、RDSおよびRDS_TCPコンポーネントが有効になっているカーネルさえあれば悪用が成立します。NebuSecはカーネルバージョン6.4を稼働させたopenSUSEシステム上で、実際にこの権限昇格を実演してみせました。脆弱なコードは元々Linux 4.17で初めて姿を見せたものですが、幸いにも開発者らは公式パッチをメインラインの7.1-rc3ブランチに統合した後、サポート対象の安定版系統にもバックポートを行っています。
広がる攻撃対象領域
今回の脆弱性シリーズの残りは、IPVS、IPv6、ネットワークブリッジ、NFQUEUE、XFRM、SCTP、io_uring、SysV IPC、Open vSwitch、BATMANに影響を及ぼします。これらの根底にあるアーキテクチャ上の欠陥は、解放済みメモリの使用（use-after-free）や二重解放によるメモリ破損、範囲外のバッファアクセスに起因するケースが多く見られます。過去にも、SCTPhantomのような類似の欠陥を突くエクスプロイトによってroot権限が奪取され、コンテナ化された環境からホストシステムへとまんまと脱出を許した事例がありました。
とはいえ、動作するエクスプロイトが存在するからといって、あらゆるLinuxマシンが直ちに遠隔から制圧されるわけではありません。攻撃の多くはローカルでのコード実行、特定のカーネルモジュールの存在、専用のネットワーク名前空間、あるいはかなり特殊な設定を前提としています。したがって、実際のリスクの大きさは、対象のディストリビューションやホストの運用形態に大きく左右されます。特に、隔離されたプロセスが追加のネットワーキング機能に不正にアクセスしうるコンテナ化されたインフラでは、この脅威がより顕著になります。
公開範囲をめぐる混乱の整理
脆弱性の正確な件数については、いまだ一部で混乱が見られます。OpenNetがroot権限に至るローカル特権昇格を18件として詳述した一方、OSS-Securityメーリングリストに投稿されたNebuSecのオリジナルの公開情報では、ZcopyReaperに加えて「さらに20件」と明記されており、最終的には合計22件の個別のCVEが列挙されています。この18件という数字は、検証済みエクスプロイトの幅広い集合の一部を集計した副次的なものであり、NebuSecが公開した包括的な内容の正確な総数を示すものではありません。
幸いにも、メンテナナー陣はすでに現行の安定版ブランチにおいて、これらの問題の大半を修正済みです。ただし、旧来の系統への対応にはばらつきが見られます。9月11日時点で、CVE-2026-43042はカーネル5.10から6.12までの複数バージョンにおいて未修正のまま残っており、CVE-2026-31678も一部の旧バージョンのUbuntuディストリビューションに引き続き存在しています。Linuxコア開発チームは、個別のセキュリティパッチを手作業でバックポートしようとするのではなく、最新の安定版カーネルへ完全に移行するよう、管理者に対して強く推奨しています。
翻訳元: https://meterpreter.org/local-linux-kernel-vulnerabilities/
