セキュリティ

SECURITY

公開：2024-09-19

【CVE-2024-45028】Linux KernelにNULLポインタデリファレンスの脆弱性が発見、広範囲のバージョンに影響

text: XEXEQ編集部
（記事は執筆時の情報に基づいており、現在では異なる場合があります）

記事の要約

• Linux Kernelに NULL ポインタデリファレンスの脆弱性
• 影響範囲は Linux Kernel 2.6.27 から 6.11 まで
• DoS 状態を引き起こす可能性がある脆弱性

Linux Kernelの脆弱性CVE-2024-45028が発見される

Linux の Linux Kernel において、NULL ポインタデリファレンスに関する脆弱性が発見された。この脆弱性は CVE-2024-45028 として識別されており、影響を受けるバージョンは Linux Kernel 2.6.27 から最新の 6.11 までの広範囲に及んでいる。CVSS v3 による深刻度基本値は 5.5（警告）とされ、攻撃元区分はローカル、攻撃条件の複雑さは低いと評価されている。^[1]

この脆弱性の主な影響として、サービス運用妨害（DoS）状態に陥る可能性が指摘されている。攻撃に必要な特権レベルは低く、利用者の関与は不要とされており、比較的容易に攻撃が実行できる可能性がある。しかし、影響の想定範囲に変更はなく、機密性および完全性への影響はないとされている。

対策として、ベンダーより正式な修正パッチが公開されている。具体的には、Kernel.org の git リポジトリにおいて、mmc_test モジュールにおける NULL ポインタデリファレンスを修正するコミットが複数のブランチに適用されている。影響を受けるシステム管理者は、これらの修正を含むアップデートを速やかに適用することが推奨される。

Linux Kernel脆弱性CVE-2024-45028の影響範囲

NULL ポインタデリファレンスについて

NULL ポインタデリファレンスとは、プログラムが NULL ポインタを参照しようとした際に発生するエラーのことを指しており、主な特徴として以下のような点が挙げられる。

• メモリアクセス違反を引き起こす可能性がある
• プログラムのクラッシュや予期せぬ動作の原因となる
• セキュリティ脆弱性につながる可能性がある

Linux Kernelにおける今回の脆弱性は、mmc_testモジュールで発生するNULLポインタデリファレンスに関するものだ。この問題により、攻撃者がローカルから特権昇格を必要とせずにDoS攻撃を引き起こせる可能性がある。Linuxシステムの安定性と可用性に直接影響を与える可能性があるため、速やかな対応が求められている。

Linux KernelのCVE-2024-45028脆弱性に関する考察

Linux Kernelの脆弱性CVE-2024-45028が広範囲のバージョンに影響を与えている点は、オープンソースソフトウェアの長期的なメンテナンスの重要性を浮き彫りにしている。この脆弱性が2.6.27という古いバージョンから最新の6.11まで影響していることは、コードの再利用や継承が広範囲に及ぶ可能性を示唆しており、セキュリティレビューの重要性を再認識させられる。今後は、長期的なコード管理とセキュリティ監査の強化が必要になるだろう。

一方で、この脆弱性の影響が主にDoS攻撃に限定されており、機密性や完全性への影響がないことは、ある意味で幸いだと言える。しかし、サーバーやクラウドインフラストラクチャにおいてLinux Kernelが広く使用されていることを考えると、DoS攻撃の可能性だけでも大きな問題となり得る。今後は、特権レベルが低い状態でも実行可能な攻撃に対する防御メカニズムの強化が求められるだろう。

最後に、この脆弱性に対する迅速な対応と修正パッチの公開は、オープンソースコミュニティの強みを示している。しかし、影響を受けるバージョンの多さは、パッチ適用の遅れや未対応システムの残存リスクを高める。今後は、自動化されたセキュリティアップデートシステムの普及や、脆弱性情報の効果的な展開方法の改善が期待される。Linux Kernelの重要性を考えると、こうしたセキュリティ管理の進化は継続的な課題となるだろう。

参考サイト

1. ^ JVN. 「JVNDB-2024-008235 - JVN iPedia - 脆弱性対策情報データベース」. https://jvndb.jvn.jp/ja/contents/2024/JVNDB-2024-008235.html, (参照 24-09-19).

※上記コンテンツはAIで確認しておりますが、間違い等ある場合はコメントよりご連絡いただけますと幸いです。

「セキュリティ」に関するコラム一覧「セキュリティ」に関するニュース一覧