ZDI、重大なLinuxカーネル脆弱性情報をLKMLに誤って流出

Trend MicroのZero Day Initiative（ZDI）チームで、運用上のミスが発生しました。研究者が未公開の脆弱性報告を複数、誤って公開メーリングリストのLinux Kernel Mailing List（LKML）に送信していたのです。流出した情報には、CVSSスコアが9.0に達する深刻なリモートコード実行の脆弱性2件が含まれています。メンテナーはまだこれらの欠陥にパッチを適用しておらず、早すぎる情報公開は企業システムに差し迫ったリスクをもたらします。

メーリングリストを通じた意図しない公開

メールヘッダーの記録によると、アナリストは脆弱性アドバイザリーを非公開のカーネルセキュリティチームに送るつもりでした。しかし送信者は、CC欄に公開リストを誤って入れてしまいました。その結果、開発者が防御用のパッチを作成する前に、技術的な詳細をまとめた全文がLKMLのセキュリティ開示スレッドに掲載されました。上流のメンテナーが正式な修正に取り組んでいる間、セキュリティ管理者は潜在的な危険にさらされることになります。

公開された5件のカーネル脆弱性

誤送信されたメールには、複数のサブシステムにまたがる5件の個別のカーネル欠陥が記載されていました。特に注目すべきは、認証なしでのリモートコード実行を可能にする2件で、いずれも深刻度は「クリティカル」です。

SMB実装におけるリモートコード実行

1件目の報告ZDI-CAN-33549は、SMB Directに存在する整数アンダーフローの脆弱性を扱っています。特定の条件下でこの欠陥を悪用すると、リモートの攻撃者が脆弱なホスト上で任意のコードを実行できます。ただし攻撃が成立するのは、SMB Direct、RDMAネットワークアダプター、アクセス可能な共有ディレクトリを備えた構成が有効な場合に限られます。

同様に、報告ZDI-CAN-33774は、カーネル内SMBファイルサーバーであるKSMBDに危険な競合状態があると指摘しています。前述の欠陥と同じく、この脆弱性でも任意のリモートコード実行が可能です。2件とも、CVSS 4.0で9.0という高いスコアが付けられました。

権限昇格とその他のサブシステムの弱点

リモート実行の欠陥以外にも、今回の流出ではカーネルの問題がさらに3件明らかになりました。ネットワーク処理ルーチンにおけるローカル権限昇格、VMware仮想グラフィックスドライバーの境界外書き込みなどです。加えて、NVMeターゲットサブシステムの情報漏えいも説明されていました。さらに、ユーザー空間の接続管理デーモンであるConnManのバッファオーバーフローに関する報告も含まれていました。

早すぎた公開と運用への影響

ZDIのスケジュール記録によると、研究者がLinuxカーネルのメンテナーに通知したのは10月21日です。正式な協調的開示は当初、2027年2月18日に予定されていました。上流のメンテナーが修正をメインラインツリーにまだマージしていないため、今回の流出で防御側は難しい立場に置かれています。SMBやRDMAの構成を公開している環境の管理者は、ディストリビューターから公式アップデートが提供されるまで、システムの境界を点検することが望まれます。