【CVE-2024-49957】Linux Kernelに深刻な脆弱性、複数バージョンでサービス運用妨害のリスクが発生

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

Linux KernelにNULLポインタデリファレンスの脆弱性が発見
複数のバージョンに影響でサービス運用妨害のリスクあり
ベンダーから正式な対策パッチが公開済み

Linux Kernelにおける重大な脆弱性の発見と対策

LinuxのLinux Kernelにおいて、NULLポインタデリファレンスに関する脆弱性が発見され、2024年10月29日に公開された。この脆弱性は【CVE-2024-49957】として識別されており、CVSS v3による深刻度基本値は5.5を記録し、複数のバージョンのLinux Kernelに影響を与えることが判明している。^[1]

影響を受けるバージョンは、Linux Kernel 2.6.32から5.10.227未満、5.11から5.15.168未満、5.16から6.1.113未満、6.2から6.6.55未満、6.7から6.10.14未満、そして6.11から6.11.3未満と広範囲に及んでいる。NVDの評価によると、攻撃元区分はローカルであり、攻撃条件の複雑さは低いとされている。

この脆弱性が悪用された場合、システムがサービス運用妨害（DoS）状態に陥る可能性があることが確認されている。ベンダーからは正式な対策が公開されており、Kernel.orgのgitリポジトリには複数のパッチが用意され、ジャーナルの読み込みに失敗した際のNULLポインタデリファレンスを修正する対応が行われている。

Linux Kernelの脆弱性まとめ

項目	詳細
影響を受けるバージョン	Linux Kernel 2.6.32-6.11.3未満の複数バージョン
脆弱性の種類	NULLポインタデリファレンス
CVSS v3スコア	5.5（警告）
攻撃条件	攻撃元区分：ローカル、複雑さ：低
想定される影響	サービス運用妨害（DoS）状態
対策状況	ベンダーから正式パッチを公開済み

NULLポインタデリファレンスについて

NULLポインタデリファレンスとは、プログラムがNULL値を持つポインタを通じてメモリにアクセスしようとする際に発生する深刻なプログラミングエラーのことを指す。主な特徴として、以下のような点が挙げられる。

メモリ位置0番地へのアクセスによって発生
プログラムのクラッシュや異常終了を引き起こす
セキュリティ上の脆弱性となる可能性がある

Linux Kernelで発見されたこの脆弱性は、ocfs2ファイルシステムのジャーナル読み込み失敗時に発生するNULLポインタデリファレンスに関連している。この種の脆弱性は攻撃者によって悪用された場合、システム全体のサービス運用妨害状態を引き起こす可能性があり、特権レベルが低い状態でも攻撃が可能であることが特徴だ。