セキュリティ

SECURITY

公開：2024-10-29

【CVE-2024-49977】Linux Kernelのゼロ除算脆弱性が発見、DoS攻撃のリスクに注意が必要

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Linux Kernelにゼロ除算の脆弱性が発見
• 複数のバージョンで影響を受ける可能性
• DoS状態を引き起こすリスクが存在

Linux Kernelのゼロ除算脆弱性

Linux KernelにおいてCVE-2024-49977として識別されるゼロ除算に関する脆弱性が発見され、2024年9月24日に公開された。攻撃条件の複雑さは低く、Linux Kernel 5.10.221以上6.11.3未満の複数バージョンに影響を与える可能性があることが明らかになっている。^[1]

この脆弱性は攻撃元区分がローカルであり、攻撃に必要な特権レベルは低いものの利用者の関与は不要とされている。また、機密性と完全性への影響はないが、可用性への影響が高いことから、CVSSv3による深刻度基本値は5.5と評価されている。

本脆弱性に対してベンダーから正式な対策が公開されており、net stmmacにおけるtc cbsを無効化する際のゼロ除算エラーを修正するパッチが提供されている。影響を受ける可能性のあるシステム管理者は、早急に対策を実施することが推奨される。

Linux Kernelの影響を受けるバージョンまとめ

ゼロ除算について

ゼロ除算とは、コンピュータプログラムにおいて数値を0で割ろうとする演算処理のことを指す。主な特徴として、以下のような点が挙げられる。

• プログラムの実行時エラーの原因となる
• システムのクラッシュやハングアップを引き起こす可能性がある
• DoS攻撃の手法として悪用される可能性が存在

Linux Kernelで発見されたゼロ除算の脆弱性は、tc cbsを無効化する際に発生する可能性があることが判明している。この脆弱性が悪用された場合、システムのサービス運用妨害状態を引き起こす可能性があるため、影響を受けるバージョンを使用している場合は早急な対応が必要となる。

Linux Kernelの脆弱性に関する考察

Linux Kernelのゼロ除算脆弱性は、攻撃条件の複雑さが低く特権レベルも低いため、比較的容易に攻撃が可能である点が懸念材料となっている。しかし、攻撃元区分がローカルであることから、リモートからの攻撃リスクは限定的であり、適切なアクセス制御を実装することで一定の防御が可能であるだろう。

今後は同様の脆弱性を未然に防ぐため、コードレビューやセキュリティテストの強化が必要となるかもしれない。特にゼロ除算のようなバリデーション処理に関しては、より厳密なチェック機構の実装が求められることになるだろう。

Linux Kernelの開発コミュニティには、セキュリティ関連の修正をより迅速に行える体制の構築が期待される。特にLTSバージョンについては、長期的なサポートが必要とされることから、セキュリティパッチの提供体制をより強化していく必要があるだろう。

参考サイト

1. ^ JVN. 「JVNDB-2024-011238 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-011238.html, (参照 24-10-29).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧