ルート権限の悪用コードが公開、修正前にLinuxの脆弱性が露呈

Linuxカーネルの脆弱性を突く実用的なエクスプロイトが、CVE識別子の割り当てやアップストリームへの修正のマージより前に公開されました。

Sysdig Threat Research Teamが10月24日に公開した分析によると、Trend MicroのZero Day Initiative(ZDI)は10月20日と21日に、この報告と他の5件の報告をメンテナーおよび公開メーリングリストに送信しました。

Sysdigが分析を公開した時点で、実環境での悪用は報告されていませんでした。ただ、複数の脆弱性は、リリース済みのどのカーネルにも修正が入っていない状態でした。

公開により生じたパッチ適用の空白

公開済みのエクスプロイトが存在するZDI-CAN-33367は、Linuxのネットワークスタックに存在するローカル権限昇格(LPE)の脆弱性で、ZDIはCVSSスコアを7.8と評価しました。権限のないユーザーが、読み取りしかできないファイルのメモリ上の内容を書き換えられる可能性があります。

この脆弱性は、以前のDirty Fragページキャッシュ脆弱性に対するカーネルの修正で対処が漏れたコードパスに存在します。Sysdigによると、LinuxサポートプロバイダーのTuxCareは、公開された概念実証(PoC)コードを使い、AlmaLinux 8～10、CloudLinux 9および10、Debian 12および13、Ubuntu 24.04および26.04でルートシェルの再現に成功しました。

残る5件のうち、ZDI-CAN-33774とZDI-CAN-33549は評価が最も高く、いずれも9.0です。どちらもカーネルのServer Message Block(SMB)サーバーであるksmbdに影響します。前者は認証前にリモートから悪用できる脆弱性で、カーネルメモリの漏えいやシステムのクラッシュを引き起こす恐れがあります。後者は、Remote Direct Memory Access(RDMA)インターフェースであるSMB Directと、書き込み可能な共有が必要です。

関連記事:Linuxカーネルの新たな脆弱性、エンバーゴ破綻を受けて急ごしらえのパッチが登場

Linuxシステムごとに異なるリスク

残る3件のうち、ZDI-CAN-34068は、カーネルのVMwareグラフィックスドライバーに存在するLPEの脆弱性で、評価は8.8です。Sysdigによると、パッチはなく、公開されているのは報告のタイトルのみです。

最後の2件は、カーネルのNon-Volatile Memory Express(NVMe)ターゲットにおける情報漏えいのZDI-CAN-34076と、ネットワークマネージャーConnManにおけるユーザー空間のスタックオーバーフローのZDI-CAN-32005です。

Sysdigは、防御側はCVSSスコアではなく、自らが運用するコンポーネントに基づいて優先順位を付けるべきだと指摘しています。必要のない環境ではksmbdをアンロードし、どうしても残す場合はポート445を信頼できるネットワークに限定するよう勧めています。VMwareゲストでは、vmwgfxのパッチが出るかどうかを注視するよう促しました。

ZDI-CAN-33367については、権限のないユーザー名前空間を制限すれば公開PoCを阻止できるはずだとSysdigは説明しています。ただしTuxCareはこの対策を検証しておらず、ルートレスコンテナがユーザー名前空間に依存している点にも注意が必要です。AlmaLinuxは、10月23日の時点で、パッチ適用済みカーネルをテスト版で用意していましたが、本番版には至っていませんでした。

今回の公開で、パッチ適用状況は断片的になりました。なかでもルート権限のエクスプロイトが公開されたZDI-CAN-33367は、6件のうち最も差し迫った懸念といえます。