新しいLinuxの脆弱性により、主要なディストリビューションでPAMとUdisksを介して完全なルートアクセスが可能に

サイバーセキュリティ研究者は、主要なLinuxディストリビューションを実行しているマシンでルート権限を取得するために悪用される可能性のある2つのローカル特権昇格（LPE）脆弱性を発見しました。

Qualysによって発見された脆弱性は以下の通りです –

• CVE-2025-6018 – SUSE 15のプラグイン認証モジュール（PAM）における無権限からallow_activeへのLPE
• CVE-2025-6019 – libblockdevのudisksデーモンを介したallow_activeからルートへのLPE

“これらの最新の「ローカルからルートへの」エクスプロイトは、通常のログインユーザーと完全なシステム乗っ取りの間のギャップを縮めました” と、Qualysの脅威研究ユニット（TRU）のシニアマネージャーであるSaeed Abbasiは述べました。

“udisksのループマウントやPAM/環境の癖などの正当なサービスを連鎖させることで、アクティブなGUIやSSHセッションを持つ攻撃者は、polkitのallow_active信頼ゾーンを超えて数秒でルートとして現れることができます。”

サイバーセキュリティ企業は、CVE-2025-6018がopenSUSE Leap 15およびSUSE Linux Enterprise 15のPAM設定に存在し、無権限のローカル攻撃者が「allow_active」ユーザーに昇格し、物理的に存在するユーザーに予約されているPolkitアクションを呼び出すことを可能にすると述べました。

一方、CVE-2025-6019はlibblockdevに影響を与え、ほとんどのLinuxディストリビューションにデフォルトで含まれているudisksデーモンを介して悪用可能です。これは基本的に、「allow_active」ユーザーがCVE-2025-6018と連鎖させることで完全なルート権限を取得することを許可します。

“名目上は「allow_active」権限が必要ですが、udisksはほぼすべてのLinuxディストリビューションでデフォルトで提供されているため、ほとんどのシステムが脆弱です” とAbbasiは付け加えました。 “ここで開示されたPAMの問題を含む「allow_active」を取得するための技術は、その障壁をさらに無効にします。”

一度ルート権限を取得すると、攻撃者はシステムへの無制限のアクセスを持ち、セキュリティコントロールの変更やバックドアの設置など、より広範な侵害後の行動のための踏み台として使用することができます。

Qualysは、Ubuntu、Debian、Fedora、openSUSE Leap 15を含むさまざまなオペレーティングシステムでこれらの脆弱性の存在を確認するための概念実証（PoC）エクスプロイトを開発したと述べました。

これらの脆弱性によるリスクを軽減するためには、Linuxディストリビューションベンダーが提供するパッチを適用することが重要です。暫定的な対策として、ユーザーは「org.freedesktop.udisks2.modify-device」のPolkitルールを管理者認証（「auth_admin」）を要求するように変更することができます。

Linux PAMにおける脆弱性の開示#

この開示は、Linux PAMのメンテナがローカルユーザーがルート権限に昇格することを可能にする高深刻度のパストラバーサル脆弱性（CVE-2025-6020、CVSSスコア: 7.8）を解決した際に行われました。この問題はバージョン1.7.1で修正されています。

“linux-pam <= 1.7.0のモジュールpam_namespaceは、適切な保護なしにユーザー制御のパスにアクセスする可能性があり、これによりローカルユーザーが複数のシンボリックリンク攻撃や競合状態を介してルート権限に昇格することができます” と、Linux PAMのメンテナであるDmitry V. Levinは述べました。

Linuxシステムは、ユーザー制御のパスの下にあるポリインスタンス化ディレクトリまたはインスタンスディレクトリのパスを設定するためにpam_namespaceを使用している場合、脆弱です。CVE-2025-6020の回避策として、ユーザーはpam_namespaceを無効にするか、ユーザー制御のパスで動作しないようにすることができます。

ANSSIのOlivier Bal-Petreは、2025年1月29日にメンテナにこの脆弱性を報告し、述べました。ユーザーは、ディストリビューションが提供するものを使用していない場合、namespace.initスクリプトを更新し、2つのパスのいずれかがルートとして操作するのに安全であることを確認する必要があります。