• ひとことでLinux カーネルの USB 音声の部品で、メモリの範囲外にアクセスしてしまう弱点です
  • 深刻度7.8 重要CVSS v3.1
  • まずやること使っている Linux カーネルの版を確認する

何をすればいいかを詳しく読む

基本情報（データから表示）

CVE番号CVE-2024-53197
製品Linux Kernel
深刻度（CVSS）7.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-04-09
米国政府機関の対応期限2025-04-30
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-787（範囲外への書き込み）

何が起きた

Linux カーネルの USB 音声機器を扱う部分（USB-audio ドライバー）で、不正な USB 機器が渡す設定の数をそのまま信じてしまい、用意したメモリの範囲の外にアクセスしてしまう弱点が見つかりました。この弱点は実際の攻撃に使われたことが確認されています。CISA の説明では、機器に直接さわれる攻撃者が細工した USB 機器をつなぐことで、メモリを書きかえたり、権限を上げたり、任意のコードを実行したりできる可能性があるとされています。NVD に登録された CISA の評価では、対象の機器上で一般利用者程度の権限を持つ攻撃者が悪用できるとされています。

攻撃の流れ

データをもとに、AIを使用して作成した図です。実際の攻撃は、これと異なる場合があります。

攻撃の流れ: 1. 攻撃者が細工した USB 機器を用意する → 2. 対象の機器に USB 機器をつなぐ → 3. ドライバーが範囲外のメモリにアクセスする → 4. 権限の上昇などにつながるおそれがある1攻撃者が細工した USB 機器を用意する2対象の機器に USB 機器をつなぐ3ドライバーが範囲外のメモリにアクセスする4権限の上昇などにつながるおそれがある攻撃の流れ: 1. 攻撃者が細工した USB 機器を用意する → 2. 対象の機器に USB 機器をつなぐ → 3. ドライバーが範囲外のメモリにアクセスする → 4. 権限の上昇などにつながるおそれがある1攻撃者が細工した USB 機器を用意する2対象の機器に USB 機器をつなぐ3ドライバーが範囲外のメモリにアクセスする4権限の上昇などにつながるおそれがある攻撃の流れ: 1. 攻撃者が細工した USB 機器を用意する → 2. 対象の機器に USB 機器をつなぐ → 3. ドライバーが範囲外のメモリにアクセスする → 4. 権限の上昇などにつながるおそれがある1攻撃者が細工した USB 機器を用意する2対象の機器に USB 機器をつなぐ3ドライバーが範囲外のメモリにアクセスする4権限の上昇などにつながるおそれがある

誰が影響を受ける

Linux カーネルを使っているパソコン、サーバー、機器です。CVE の記録では、2.6.12 から影響があり、修正済みのカーネルは 4.19.325、5.4.287、5.10.231、5.15.174、6.1.120、6.6.64、6.11.11、6.12.2 以降の各系列と 6.13 とされています。

何をすればいい

お使いの Linux カーネルが、系列ごとの修正済みのバージョン（例: 6.6.64 以降、6.1.120 以降）に更新されているか確認してください。Linux ディストリビューションを使っている場合は、配布元が出しているカーネルの更新を当ててください。あわせて、Linux カーネルやお使いのディストリビューションの公式の案内を確認してください。

やることチェックリスト

  • 使っている Linux カーネルの版を確認する
  • 系列ごとの修正済みカーネルに更新する
  • 配布元のカーネル更新を当てて再起動する

用語メモ

カーネル 用語集で見る
OS の中心となる部分で、メモリや機器の管理など、いちばん基本的な仕事をするプログラムです。
ドライバー 用語集で見る
USB 機器などのハードウェアを OS から使えるようにするためのプログラムです。
任意のコード 用語集で見る
攻撃者が好きに選んだプログラムの命令のことです。
ディストリビューション 用語集で見る
Linux カーネルに、さまざまなソフトをまとめて使いやすくした配布版のことです。Ubuntu や Red Hat Enterprise Linux などがあります。

次に読む

同じ製品・メーカーの脆弱性Linux Kernel（CVE-2026-53266）8.8 重要CVSS v3.1Linuxカーネルのネットワークの機能で、メモリの範囲の外に書き込まれる弱点です。同じ製品・メーカーの脆弱性Linux Kernel（CVE-2025-39964）5.5 警告CVSS v3.1Linuxカーネルの暗号の機能で、同時の書き込みから内部の状態が乱れる弱点です。基本の解説KEV とはCISAが悪用を確認した脆弱性の一覧。載る条件

最新の脆弱性の一覧に戻る ・ これまでの記事をすべて見る

公式情報と元データ

公式情報

元データ（英語・CISA KEV より）を開く

Linux Kernel Out-of-Bounds Access Vulnerability

概要

Linux Kernel contains an out-of-bounds access vulnerability in the USB-audio driver that allows an attacker with physical access to the system to use a malicious USB device to potentially manipulate system memory, escalate privileges, or execute arbitrary code.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

この元データの出どころ: CISA KEV カタログで見る