12年前から存在する「Polkit」の脆弱性、主要な「Linux」ディストリビューションに影響

今回は「12年前から存在する「Polkit」の脆弱性、主要な「Linux」ディストリビューションに影響」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Linux関連のセキュリティ脆弱性がまたしても発見された。Linuxカーネルのfs/fs_context.cプログラムに潜んでいたヒープオーバーフローのバグという問題が発見、修正された後、一息つく間もなく新たなセキュリティの問題が見つかった。Qualysが、Polkit(旧称「PolicyKit」)のpkexecに存在する危険なメモリー破壊の脆弱性(CVE-2021-4034)「PwnKit」を発見したと報告している。

 この脆弱性の悪用は簡単だという。そして、デフォルト設定の状態で利用できるこの脆弱性を悪用することで、一般ユーザーであっても脆弱なコンピューターで完全なルート権限が得られるようになる。Qualysは概略説明の中で、「この脆弱性は、攻撃者の夢をかなえるものだ」と書いている。

 なぜそれほど大きな問題と言えるのだろうか。理由を以下に挙げる。

 pkexec自体は、UNIX系OSのシステム全域にわたって権限をコントロールするための非常にパワフルなコンポーネントであるため、危険性も非常に高いものになると考えられる。Linuxへの攻撃が可能だと判明したことで、「Solaris」をはじめとする他のUNIX系OSも脆弱である可能性があるが、Qualysはこれらの悪用可能性を調査していない。ただOpenBSDは、この脆弱性を悪用した攻撃の影響を受けないとQualysは述べている。

 Red Hatは、PwnKitを「共通脆弱性評価システム(CVSS)」で7.8としている。

 Polkitは正しく使えば、権限を有していないプロセスと権限を有したプロセスを通信させるための手段が提供される。またPolkitによって、昇格した権限でのコマンド実行も可能になる。

 要するに、pkexecはsudoコマンドのようなものだといえるかもしれない。実際のところDebianの開発者らはこれを「systemdのsudo」と形容している。

 この脆弱性は12年以上にわたって気付かれずにいた。

 Qualysは、デモのエクスプロイトをリリースしないが、エクスプロイトが入手可能になるまでにそれほど時間はかからないだろうとしている。PwnKitによる攻撃を実現するのはさほど難しいことではなさそうだ。

 そのため、ユーザーは利用しているLinuxのディストリビューターからできるだけ早くパッチを入手し、適用するべきだ。Qualysは、ユーザーのOSでパッチが入手できない場合の緩和策などについても説明している。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
NSA、ネットワークインフラの保護方法を解説したレポートを発表
IT関連
2022-03-10 15:47
Visaタッチ対応改札の実証実験がスタート 反応速度は? 設置した南海電鉄の狙い【動画あり】 (1/3 ページ)
くわしく
2021-04-06 12:30
Sansan、紙の名刺作成サービスを開始 1ユーザー当たり年間1500円から
クラウドユーザー
2021-05-11 21:42
日立とAWS、ハイブリッドクラウド分野で新たな戦略的協業
IT関連
2024-03-14 16:38
シスコが目指す、次世代のデータセンターネットワーク 実現の鍵は「自動化・可視化・分析」にあり
PR
2021-07-31 19:07
シェサイクルプラットフォームを展開するOpenStreetとJR東日本が駅と地域間結ぶ移動機能で連携
モビリティ
2021-05-12 00:40
乃村工藝社、国内グループ7社の基幹システムを刷新–連結決算業務の効率化・早期化に寄与
IT関連
2021-06-24 20:46
10周年を迎えるChromebook、期待の新人 :Googleさん(1/2 ページ)
トップニュース
2021-03-12 08:06
兵庫県多可町、請求書データを財務会計システムで一元管理
IT関連
2024-09-08 20:52
屋外でもコロナ感染リスク、スパコン「富岳」飛沫シミュレーション 
IT関連
2021-05-07 15:01
ビル・ゲイツ氏、バイデン大統領との協力に意欲–コロナや気候変動などで
IT関連
2021-01-22 20:10
マルチクラウド導入を推進した自動プロビジョニングツールの現状
IT関連
2022-04-09 10:19
サブスクリプション企業の成長率はS&P 500の4.6倍–Zuora調査
IT関連
2022-03-25 07:06
Eコマース企業Wayfairに見る機械学習活用のポイントとは
IT関連
2023-07-29 03:52