最近の脆弱性 › CVE-2023-0266

Linux Kernel のuse-after-freeの脆弱性（CVE-2023-0266）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号	CVE-2023-0266
製品	Linux Kernel
深刻度（CVSS）	7.0 重要CVSS v3.1 NVD による評価詳細（ベクター） `CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H`
KEVへの追加日	2023-03-30
米国政府機関の対応期限	2023-04-20
ランサムウェアでの悪用	不明（確認されていない）
弱点の種類（CWE）	CWE-416

何が起きた

Linux Kernel の音声を扱う部分（ALSA PCM）で、必要なロック（同時に使われないようにする仕組み）が足りず、解放済みのメモリーを使ってしまう（use-after-free）弱点が見つかりました。悪用されると、一般の利用者からカーネルの最も強い権限（ring0）を奪われるおそれがあります。対象の機器に一般利用者程度の権限を持つ攻撃者が、その機器の上で悪用できます。CISA の一覧に載っており、実際の悪用が確認されています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Linux Kernel を使ったコンピューターや機器を使っている人や組織が対象です。CVE の記録では、Linux Kernel 4.14 以降で、修正のコミット 56b88b50565cd8b946a2d00b0c83927b7ebb055e より前のものが影響を受けるとされています。

何をすればいい

NVD の説明では、コミット 56b88b50565cd8b946a2d00b0c83927b7ebb055e より後のものに更新するよう勧めています。お使いの Linux のディストリビューションが配る、この修正を含むカーネルの更新を適用してください。詳しくは、Linux Kernel やディストリビューションの公式の案内を確認してください。

やることチェックリスト

修正のコミットを含むカーネルに更新する
ディストリビューションのカーネル更新を適用する
使っているカーネルの版番号を確かめる

用語メモ

use-after-free: もう使い終わって解放したメモリーを、プログラムが誤ってまた使ってしまう不具合です。悪用されると、攻撃者の好きな処理を動かされることがあります。
ring0: CPU の中で最も強い権限で動く領域のことで、カーネルがここで動きます。
コミット: プログラムの変更を1回分ずつ記録したもので、番号で区別されます。
ディストリビューション: Linux Kernel に必要なソフトをまとめて配っている、Ubuntu や Debian などの形のことです。

元データ（英語・CISA KEV より）

Linux Kernel Use-After-Free Vulnerability

概要

Linux kernel contains a use-after-free vulnerability that allows for privilege escalation to gain ring0 access from the system user.

推奨対応

Apply updates per vendor instructions.