Linux(glibc)に特権昇格の脆弱性、必要に応じてアップデートを

Qualysは10月3日(米国時間)、「CVE-2023-4911: Looney Tunables - Local Privilege Escalation in the glibc’s ld.so｜Qualys Security Blog」において、GNU C Library(glibc)のld.soにバッファオーバーフローの脆弱性が存在すると報じた。この脆弱性はCVE-2023-4911で追跡されており、悪用されるとローカルから管理者の権限で任意のコードを実行できる可能性があるとされており注意が必要。

• CVE-2023-4911: Looney Tunables - Local Privilege Escalation in the glibc’s ld.so｜Qualys Security Blog

Qualysの脅威分析ユニットによると、GNU C Library(glibc)のダイナミックローダであるld.soには環境変数GLIBC_TUNABLESの処理にバッファオーバーフローの不具合があるという。この不具合を悪用するとローカルから管理者の権限で任意のコードを実行できる可能性があるとされる。

Qualys脅威分析ユニットはこの不具合を用いて、Fedora37と38、Ubuntu 22.04と23.04、Debian 12と13のデフォルト環境において、管理者(root)権限への昇格に成功したとしている。他のディストリビューションにおいても同様の脆弱性が存在する可能性があるが、Alpine Linuxのみmusl libcを使用しているため影響を受けないとしている。

Qualysは、この脆弱性に関する技術的な詳細情報を次のリンク先で公開している。

• qualys.com/2023/10/03/cve-2023-4911/looney-tunables-local-privilege-escalation-glibc-ld-so.txt

Qualysは現在、この脆弱性のエクスプロイトコードを公開していない。しかしながら開発の難易度は高くないとみられ、他の研究チームによりすぐにエクスプロイトコードが作成されて公開される可能性があるとして注意を促している。

この件に関する主なLinuxディストリビューションの情報は次のとおり。

• Red Hat Linux - 「CVE-2023-4911 - Red Hat Customer Portal」
• Debian - 「Debian -- Security Information -- DSA-5514-1 glibc」
• Ubuntu - 「USN-6409-1: GNU C Library vulnerabilities | Ubuntu security notices | Ubuntu」
• gentoo linux - 「glibc: Multiple vulnerabilities (GLSA 202310-03) Gentoo security」

この脆弱性はローカルからの攻撃に対する脆弱性であり、直接リモートから攻撃を受けるわけではない。しかしながら、Qualysは完全な管理者権限を奪えるため差し迫った懸念があるとして、システム管理者に迅速な行動を促している。

GNU C Library(glibc)を使用しているLinuxディストリビューションにてシステムを運用している管理者は、ディストリビューションの提供元の情報を確認し、必要があれば速やかにアップデートを適用することが望まれている。