CVEノート

最近の脆弱性 › CVE-2025-38352

Linux Kernel の脆弱性（CVE-2025-38352）

この解説はAIを使用して作成しています。誤りを含む可能性があり、内容は保証できません。必ず公式情報をご確認ください。

基本情報（データから表示）

CVE番号CVE-2025-38352
製品Linux Kernel
深刻度（CVSS）7.8 重要CVSS v3.1
NVD に登録された、他の機関（開発元など）による評価
詳細（ベクター）CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
KEVへの追加日2025-09-04
米国政府機関の対応期限2025-09-25
ランサムウェアでの悪用不明（確認されていない）
弱点の種類（CWE）CWE-367

何が起きた

Linux カーネル（Linux の中心となるプログラム）の posix-cpu-timers という CPU 時間のタイマーを扱う部分に、確認した時と使う時の間に状態が変わってしまう弱点（競合状態）が見つかりました。終わりかけのプロセスのタイマー処理と、タイマーを消す処理が同時に動くと、正しく扱えなくなります。NVD の評価では、対象の機器の上で、一般利用者程度の権限があれば、利用者の操作なしで悪用できるとされています。実際に悪用が確認されており、Google も Android の情報で、限られた標的への悪用の兆候があるとしています。

誰が影響を受ける

CVE の記録では、Linux カーネルの 2.6.36 以降で、修正が入っていないバージョンが影響を受けるとされています。Android 端末も、2025年9月の Android セキュリティ情報の対象に含まれています。

何をすればいい

修正が入ったカーネルに更新されているか確認してください。CVE の記録では、5.4.295、5.10.239、5.15.186、6.1.142、6.6.94、6.12.34、6.15.3、6.16 以降が修正済みとされています。Android 端末は、セキュリティパッチレベルが 2025-09-05 以降になっているか確認してください。使っている Linux ディストリビューションや端末メーカーの公式の案内も確認してください。

やることチェックリスト

用語メモ

Linux カーネル
Linux の中心となるプログラムで、メモリーや機器、プログラムの動きを管理します。
競合状態
複数の処理が同時に動いたとき、順番やタイミングのずれで正しく動かなくなる問題です。
セキュリティパッチレベル
Android 端末にどの時点までのセキュリティ修正が入っているかを、日付で示したものです。

元データ（英語・CISA KEV より）

Linux Kernel Time-of-Check Time-of-Use (TOCTOU) Race Condition Vulnerability

概要

Linux kernel contains a time-of-check time-of-use (TOCTOU) race condition vulnerability that has a high impact on confidentiality, integrity, and availability.

推奨対応

Apply mitigations per vendor instructions, follow applicable BOD 22-01 guidance for cloud services, or discontinue use of the product if mitigations are unavailable.

公式情報