Linuxカーネルのセキュリティ情報を巡り、通常は非公開で扱われる脆弱性レポートが誤って一般公開のLinux Kernel Mailing List(LKML)に投稿されるという出来事が発生しました。これにより、まだ正式な修正がメインラインカーネルへ取り込まれていない複数の脆弱性の存在が明らかになりました。
今回公開されたレポートは、Trend MicroのZero Day Initiative(ZDI)から送られたもので、本来は非公開のセキュリティ向けメーリングリストへ送信されるべき内容だったとみられています。Linuxカーネルのメンテナーとして知られるGreg Kroah-Hartman氏も、公開リストへの投稿について疑問を呈しており、誤送信だった可能性が高い状況です。
CVSS 9.0の深刻な脆弱性も含まれる
公開された脆弱性の中には、CVSSスコア9.0という非常に高い危険度を持つものも含まれています。特に注目されるのが、SMB Direct関連の整数アンダーフローによるリモートコード実行(RCE)脆弱性(ZDI-CAN-33549)です。この問題についてはすでに修正パッチが開発されており、本来は将来のLinuxバージョン向けに準備されていましたが、今回の公開を受けて修正作業が前倒しされる可能性があります。
また、KSMBDにおける競合状態(Race Condition)を悪用してリモートコード実行につながる脆弱性(ZDI-CAN-33774)も報告されており、こちらもCVSS 9.0と評価されています。ネットワーク経由で悪用される可能性があるため、特にサーバー環境では注意が必要です。
権限昇格や情報漏えいにつながる問題も
今回公開された脆弱性には、リモート攻撃だけでなくローカル環境での権限昇格や情報漏えいにつながる問題も含まれていました。
ネットワークサブシステムの「skb_zerocopy」に関するバグでは、ローカル権限昇格の可能性が指摘されています。この問題については、すでに別ルートからカーネル開発者へ報告されており、修正パッチの公開が予定されているとされています。
そのほか、VMware向けグラフィックスドライバー「VMWGFX」に存在する境界外書き込み(Out-of-Bounds Write)の脆弱性や、NVMETコードにおける未初期化リソースによる情報漏えいの問題も報告されています。
さらに前日には、TCP検索ドメイン処理に関するスタックバッファオーバーフローの脆弱性も公開されており、こちらもローカル権限昇格につながる可能性があるとされています。
修正前の情報公開がもたらすリスク
通常、Linuxカーネルの深刻な脆弱性は、開発者が修正パッチを準備し、ユーザーがアップデートできる状態になるまで非公開で扱われます。今回のように修正完了前の情報が公開されると、攻撃者が脆弱性の分析を進める時間が増えるため、セキュリティ上のリスクが高まります。
公開された一部の問題については既に修正パッチのテストや開発が進行中ではありますすが、CVSS 9.0級の深刻な問題も含まれており、Linuxサーバーや関連システムを運用している管理者は、今後のカーネルアップデート情報を注視する必要があります。
[via Phoronix]
