最近の脆弱性 › CVE-2013-6282
Linux Kernel の脆弱性（CVE-2013-6282）
この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。
基本情報（データから表示）
| CVE番号 | CVE-2013-6282 |
|---|---|
| 製品 | Linux Kernel |
| 深刻度（CVSS） | 8.8 重要CVSS v3.1 NVD による評価 詳細（ベクター）CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H |
| KEVへの追加日 | 2022-09-15 |
| 米国政府機関の対応期限 | 2022-10-06 |
| ランサムウェアでの悪用 | 不明（確認されていない） |
| 弱点の種類（CWE） | CWE-20 |
何が起きた
Linux カーネルの get_user と put_user という関数が、ARM v6k/v7 の機器で使われたとき、読み書きする先のアドレスを確認していない弱点が見つかりました。細工したアプリを使うと、カーネルのメモリを読んだり書き換えたりでき、権限昇格につながる可能性があります。2013年10月と11月に Android 端末への攻撃で実際に悪用されたと報告されています。NVDの評価では、ネットワーク経由で、一般利用者程度の権限を持つ攻撃者が悪用できるとされています。
攻撃の流れ
データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。
誰が影響を受ける
v6k と v7 の ARM の機器で動く Linux カーネル 3.5.5 より前を使っている機器が対象です。Android 端末なども含まれます。
何をすればいい
Linux カーネルを 3.5.5 以降、または機器のメーカーやディストリビューションが出した修正済みの版に更新されているか確認してください。Android 端末などは、メーカーの公式の案内を確認し、提供されている更新を適用してください。
やることチェックリスト
- Linux カーネルを 3.5.5 以降に更新する
- Android 端末はメーカーの更新を適用する
- 出所の分からないアプリを入れないようにする
用語メモ
- カーネル
- OS の中心部分で、メモリや機器の管理など最も重要な処理を担当します。
- ARM
- スマートフォンなどで広く使われている CPU（処理装置）の種類です。
- 権限昇格
- 本来持っていない、より強い権限を手に入れることです。
元データ（英語・CISA KEV より）
Linux Kernel Improper Input Validation Vulnerability
概要
The get_user and put_user API functions of the Linux kernel fail to validate the target address when being used on ARM v6k/v7 platforms. This allows an application to read and write kernel memory which could lead to privilege escalation.
推奨対応
Apply updates per vendor instructions.