Linuxカーネルの「ksmbd」に深刻なセキュリティ脆弱性

今回は「Linuxカーネルの「ksmbd」に深刻なセキュリティ脆弱性」についてご紹介します。

関連ワード (セキュリティ等) についても参考にしながら、ぜひ本記事について議論していってくださいね。

本記事は、ZDNet Japan様で掲載されている内容を参考にしておりますので、より詳しく内容を知りたい方は、ページ下の元記事リンクより参照ください。


 Linuxのシステム管理者であれば誰しもが、ホリデーシーズン目前に、Linuxカーネルに深刻なセキュリティ脆弱性が発見されたというニュースは目にしたくはないはずだ。とは言うものの、トレンドマイクロが運営する脆弱性発見コミュニティーであるZero Day Initiative(ZDI)は米国時間12月22日、Linuxカーネルに潜むセキュリティ脆弱性を発見したと報告した。この脆弱性を悪用することで、認証されていないリモートユーザーであっても機密情報を窃取したり、脆弱性を抱えたシステム上でコードを実行できるようになる。

 では、その深刻度はどの程度なのだろうか。ZDIは、0から10までの「共通脆弱性評価システム」(CVSS)で最高スコアの10と評価しており、あらゆるLinuxサーバーに対して「パッチを適用せよ!今すぐに適用せよ!」というレベルの脆弱性となっている。

 この脆弱性は、Linuxカーネルの「バージョン5.15」に組み込まれているSMB(Server Message Block)サーバーである「ksmbd」内に存在している。具体的には、「SMB2_TREE_DISCONNECT」コマンドの処理において、オブジェクトの操作を実行する前に該当オブジェクトの存在を検証していないところに根本的な問題がある。そしてこの脆弱性を悪用することで攻撃者は、カーネルコンテキストでコードを実行できるようになる。

 2021年にカーネルに導入されたksmbdは、「SMB3」によるファイルのやり取りを高速化するという目的のモジュールであり、サムスンによって開発されたものだ。「Windows」で使用されているSMBとLinuxがやり取りするには、Sambaというファイルサーバープロトコルの仲介が不可欠となっている。ksmbdの目的は、既存のSambaモジュールを置き換えるのではなく、それを補完することにある。Sambaとksmbdの開発者らは、これらのモジュールが協調して動作するように取り組んでいる。

 とは言うものの、Sambaの共同クリエイターであるJeremy Allison氏は「ksmbdは製品版のSambaとコードを共有しているわけではなく、ゼロから開発されている。このため、現在の状況はユーザーのシステム上で稼働している可能性のあるSambaファイルサーバーとはまったく関係がない」とコメントしている。

 Linuxカーネルのバージョン5.15以降を使用しているすべてのディストリビューションは、今回の脆弱性を抱えている可能性がある。これには「Ubuntu 22.04」以降と、「Deepin 20.3」「Slackware 15」が含まれている。サーバー目的で普及しているという点で、Ubuntuが最も懸念される。なお、「Red Hat Enterprise Linux」(RHEL)ファミリーといったその他の法人向けディストリビューションでは、Linuxカーネルのバージョン5.15は採用されていない。

COMMENTS


Recommended

TITLE
CATEGORY
DATE
カシオが「MY G-SHOCK」で目指す、顧客体験中心のビジネス構築
IT関連
2022-09-14 01:56
注目のWeb会議サービス「Remotehour」手掛けた日本人起業家
IT関連
2021-03-04 11:11
三菱地所がスタートアップとの新事業創出を目指す「三菱地所アクセラレータープログラム 2020」採択8社紹介
VC / エンジェル
2021-02-03 04:13
【レビュー】Mac Studio、すてきでパワフルで値段も高い、Macのデスクトップに求めるものがほとんど揃う
IT関連
2022-03-20 04:43
ポーチで持ち歩く「レイコップ GO」発売 車内の掃除や除菌に
くらテク
2021-03-05 09:44
ブロックチェーン活用し「唯一無二」のアニメ原画データなどを販売する「AniPic!」が4000万円調達
ネットサービス
2021-02-20 19:45
ハンシン建設、情報システム部門のノンコア業務を削減
IT関連
2024-03-01 06:10
CTC、ヨドコウ桜スタジアムとエッジAIカメラ活用の実証実験
IT関連
2025-01-22 07:13
UsideUのアバター採用遠隔接客ツール「TimeRep」がNTTドコモの5Gソリューションとして採択
人工知能・AI
2021-06-19 20:52
マイクロソフト、日本でAI/クラウド基盤の増強に4400億円を投資
IT関連
2024-04-11 18:39
火災から3カ月 ルネサス、半導体生産能力が100%復旧
企業・業界動向
2021-06-26 02:47
TwitterがインドのソーシャルアプリDailyhuntに話題のツイートをまとめた「モーメント」を提供
ネットサービス
2021-01-20 10:28
個人向け「Microsoft Defender」、提供開始–Mac、iOS、Androidにも対応
IT関連
2022-06-21 00:19
NECのCHROが語る「ジョブ型人材マネジメントの勘所」とは
IT関連
2024-03-23 13:41