CVE-2019-13272とは？Linux Kernelの脆弱性をわかりやすく解説

ひとことでLinux カーネルで、一般利用者が管理者の権限を奪える弱点です。
深刻度7.8 重要CVSS v3.1
まずやることLinux カーネルを 5.1.17 以降に更新する

基本情報（データから表示）

CVE番号	CVE-2019-13272
製品	Linux Kernel
深刻度（CVSS）	7.8 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2021-12-10
米国政府機関の対応期限	2022-06-10
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-269（権限管理の不備）

何が起きた

Linux カーネルの ptrace という仕組みで、プロセスの権限の記録の扱いに誤りがあり、一般の利用者が root（最高の管理者）の権限を手に入れられる弱点が見つかりました。CISA によると、実際に悪用が確認されています。NVD の評価では、攻撃者は対象の機器にログインできる一般利用者程度の権限を持っている必要があります。NVD の説明では、Polkit の pkexec という補助プログラムを通じて悪用できる例が挙げられています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

NVD の説明によると、5.1.17 より前の Linux カーネルを使っているコンピューターが影響を受けます。サーバーだけでなく、Linux を使う多くの機器が対象になりえます。

何をすればいい

Linux カーネルが 5.1.17 以降、または修正を取り込んだ版に更新されているか確認してください。使っている Linux の配布元（ディストリビューション）の公式の案内を確認し、カーネルの更新を当ててください。NVD の説明には、環境によっては SELinux の deny_ptrace が回避策になる可能性があると書かれています。

やることチェックリスト

Linux カーネルを 5.1.17 以降に更新する
配布元が出したカーネルの更新を当てる
必要に応じて SELinux の deny_ptrace を検討する

用語メモ

カーネル用語集で見る: OS の中心部分で、メモリや機器、プログラムの動きを管理するソフトです。
ptrace: あるプログラムが別のプログラムの動きを調べたり操作したりするための仕組みで、デバッグなどに使われます。
root 用語集で見る: Linux で何でもできる最高の管理者の権限です。
SELinux: プログラムができることを細かく制限する、Linux のセキュリティの仕組みです。

次に読む

同じ製品・メーカーの脆弱性Linux Kernel（CVE-2026-53266）8.8 重要CVSS v3.1Linuxカーネルのネットワークの機能で、メモリの範囲の外に書き込まれる弱点です。同じ製品・メーカーの脆弱性Linux Kernel（CVE-2025-39964）5.5 警告CVSS v3.1Linuxカーネルの暗号の機能で、同時の書き込みから内部の状態が乱れる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る・これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Linux Kernel Improper Privilege Management Vulnerability

概要

Kernel/ptrace.c in Linux kernel mishandles contains an improper privilege management vulnerability that allows local users to obtain root access.

推奨対応

Apply updates per vendor instructions.

この元データの出どころ: CISA KEV カタログで見る

Linux Kernel の権限管理の不備の脆弱性（CVE-2019-13272）