セキュリティ

SECURITY

公開：2024-10-29

【CVE-2024-49874】Linux Kernelに解放済みメモリ使用の脆弱性、情報漏洩やDoS攻撃のリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Linux Kernelに解放済みメモリ使用の脆弱性が発見
• 影響を受けるバージョンは6.4以上6.11.3未満
• 情報取得や改ざん、DoS攻撃のリスクが存在

Linux Kernel 6.4-6.11.3における解放済みメモリ使用の脆弱性

Linuxは2024年10月28日、Linux Kernelにおける解放済みメモリの使用に関する脆弱性を公開した。Linux Kernel 6.4以上6.6.55未満、6.7以上6.10.14未満、6.11以上6.11.3未満のバージョンに影響を与える【CVE-2024-49874】として報告された脆弱性で、攻撃者によって情報漏洩や改ざんなどの被害が発生する可能性があるのだ。^[1]

NVDの評価によると、攻撃元区分はローカルであり攻撃条件の複雑さは高いとされているが、攻撃に必要な特権レベルは低く利用者の関与も不要とされている。機密性への影響、完全性への影響、可用性への影響がすべて高と評価されており、CVSS v3による深刻度基本値は7.0と重要度が高い脆弱性だ。

脆弱性の具体的な内容は、svc_i3c_masterドライバにおけるレース条件に起因する解放済みメモリの使用に関する問題である。Kernel.orgのgitリポジトリでは複数のコミットが公開されており、ベンダより正式な対策パッチが提供されているため、システム管理者は速やかな対応が求められる。

Linux Kernelの脆弱性影響範囲まとめ

解放済みメモリの使用について

解放済みメモリの使用とは、プログラムが既に解放されたメモリ領域にアクセスしようとする問題のことを指す。主な特徴として以下のような点が挙げられる。

• メモリ管理における重大なセキュリティリスク
• 情報漏洩や改ざんの原因となる可能性
• システムの安定性に影響を与える深刻な脆弱性

今回のLinux Kernelの脆弱性では、svc_i3c_masterドライバにおけるレース条件によって解放済みメモリの使用が可能となっている。CVSSスコアが7.0と評価されており、情報の取得や改ざん、サービス運用妨害などの攻撃が可能となるため、システム管理者による迅速な対応が必要とされている。

Linux Kernelの脆弱性に関する考察

Linux Kernelの脆弱性対策として正式なパッチが公開されたことは、オープンソースコミュニティの迅速な対応という点で評価できる。しかし、影響を受けるバージョンの範囲が広く、多くのシステムで更新作業が必要となることから、パッチ適用までの期間にセキュリティリスクが残存する可能性が高いだろう。

今後の課題として、svc_i3c_masterドライバのような低レイヤーコンポーネントにおけるメモリ管理の厳格化が求められる。特にレース条件に起因する脆弱性は発見が困難であり、開発段階での静的解析ツールの活用やコードレビューの強化など、予防的なアプローチの確立が重要になってくるだろう。

将来的には、メモリ安全性を保証するプログラミング言語やツールの活用を検討する必要がある。Rustのようなメモリ安全性を重視した言語の採用や、動的解析ツールの導入により、同様の脆弱性の発生を未然に防ぐことが期待される。

参考サイト

1. ^ JVN. 「JVNDB-2024-011233 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-011233.html, (参照 24-10-29).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧