Linux Kernel の範囲外読み取りの脆弱性（CVE-2024-53150）

何が起きた

Linux カーネルの USB 音声機器を扱う部分（USB-audio ドライバー）で、機器から受け取る情報の長さを確かめておらず、不正な機器が短い情報を渡すと、用意したメモリの範囲の外を読んでしまう弱点が見つかりました。この弱点は実際の攻撃に使われたことが確認されています。CISA の説明では、権限を持つローカルの攻撃者が、秘密の情報を手に入れられる可能性があるとされています。NVD の評価では、対象の機器上で一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

誰が影響を受ける

Linux カーネルを使っているパソコン、サーバー、機器です。CVE の記録では、5.4 から影響があり、修正済みのカーネルは 5.4.287、5.10.231、5.15.174、6.1.120、6.6.64、6.11.11、6.12.2 以降の各系列と 6.13 とされています。4.19.84 以降の 4.19 系列と、5.3.11 以降の 5.3 系列も影響を受けるとされていますが、この2つの系列の修正版は CVE の記録には書かれていません。

何をすればいい

お使いの Linux カーネルが、系列ごとの修正済みのバージョン（例: 6.6.64 以降、6.1.120 以降）に更新されているか確認してください。Linux ディストリビューションを使っている場合は、配布元が出しているカーネルの更新を当ててください。4.19 系列や 5.3 系列を使っている場合は、CVE の記録に修正版が書かれていないため、修正済みの系列への移行を検討し、お使いのディストリビューションの公式の案内を確認してください。

やることチェックリスト

• 使っている Linux カーネルの版を確認する
• 系列ごとの修正済みカーネルに更新する
• 4.19・5.3 系列なら修正済みの系列へ移す

用語メモ

カーネル

OS の中心となる部分で、メモリや機器の管理など、いちばん基本的な仕事をするプログラムです。

ドライバー

USB 機器などのハードウェアを OS から使えるようにするためのプログラムです。

ディストリビューション

Linux カーネルに、さまざまなソフトをまとめて使いやすくした配布版のことです。Ubuntu や Red Hat Enterprise Linux などがあります。