最近の脆弱性 › CVE-2014-3153

Linux Kernel の権限昇格の脆弱性（CVE-2014-3153）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2014-3153
製品	Linux Kernel
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2022-05-25
米国政府機関の対応期限	2022-06-15
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-269

何が起きた

Linux カーネルの futex（プログラム同士の順番待ちを管理する仕組み）の処理で、2つの異なるアドレスが渡されたかを確かめない弱点が見つかり、実際に悪用されたことが確認されています。細工した命令を送ると、より高い権限を得る権限昇格が起きます。NVD の評価では、対象の機器上で、一般利用者程度の権限を持つ攻撃者が、利用者の操作なしに悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明では、Linux カーネル 3.14.5 までが影響を受けます。NVD の対象範囲の設定では、3.2.60 より前、3.4.92 より前、3.10.42 より前、3.12.22 より前、3.14.6 より前の各系列が対象になっています。Linux カーネルを使うサーバーや機器を管理している人・組織が対象です。

何をすればいい

使っている Linux カーネルの版を確かめ、修正を含む版（3.14 系は 3.14.6、3.12 系は 3.12.22、3.10 系は 3.10.42、3.4 系は 3.4.92、3.2 系は 3.2.60）以降に更新されているか確認してください。修正は、futex の処理で同じアドレスを指定することを禁止するものです。あわせて公式の案内を確認してください。

やることチェックリスト

使っている Linux カーネルの版を確かめる
3.14 系は 3.14.6 以降、3.12 系は 3.12.22 以降にする
3.10 系は 3.10.42 以降、3.4 系は 3.4.92 以降にする

用語メモ

カーネル: OS の中心となる部分で、機器のすべての動きを管理しています。
futex: Linux で、複数のプログラムが順番待ちをするときに使う仕組みです。
権限昇格: 攻撃者が、もともと持っていない高い権限を手に入れることです。

元データ（英語・CISA KEV より）

Linux Kernel Privilege Escalation Vulnerability

概要

The futex_requeue function in kernel/futex.c in Linux kernel does not ensure that calls have two different futex addresses, which allows local users to gain privileges.

推奨対応

Apply updates per vendor instructions.