Trusted Design

CVE-2024-1086 の詳細

CVEの情報

説明:
A use-after-free vulnerability in the Linux kernel's netfilter: nf_tables component can be exploited to achieve local privilege escalation. The nft_verdict_init() function allows positive values as drop error within the hook verdict, and hence the nf_hook_slow() function can cause a double free vulnerability when NF_DROP is issued with a drop error which resembles NF_ACCEPT. We recommend upgrading past commit f342de4e2f33e0e39165d8639387aa6c19dff660.

CVE更新日: 2024-01-31 13:15:10.827000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2024-05-30

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.280580000

EPSS更新日: 2026-10-19 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-1086は、LinuxカーネルのNetfilterサブシステムにおける深刻な権限昇格の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

Linuxカーネルのnetfilter: nf_tablesコンポーネントに存在するUse-After-Freeの脆弱性です。nft_verdict_init()関数がフック判定内で正の値をドロップエラーとして許可することで、nf_hook_slow()関数がNF_ACCEPTに似たドロップエラーでNF_DROPが発行された場合にダブルフリーの脆弱性を引き起こします。これにより、ローカルの攻撃者が特権を昇格できる可能性があります。

1.1 影響

この脆弱性が悪用されると、ローカルの攻撃者はroot権限に昇格し、システムを完全に制御できるようになります。具体的には、任意のコード実行、ファイルの改ざん、セキュリティ機能の無効化、マルウェアのインストール、機密データの窃取、ネットワーク内での横移動などが可能になります。また、サービス運用妨害（DoS）状態（システムクラッシュ）を引き起こす可能性もあります。

1.2 深刻度

  • CVSSv3.1 ベーススコア: 7.8 (High)
  • CISA KEV (Known Exploited Vulnerabilities) カタログへの追加: 米国CISA（サイバーセキュリティ・社会基盤安全保障庁）は、本脆弱性を積極的に悪用されている脆弱性としてKEVカタログに追加しており、その深刻度を強調しています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Linuxカーネルバージョン 3.15 から 6.8-rc1 までが影響を受けます。具体的には、以下のバージョンより前のもの、または以下のバージョンを含むものが脆弱です。

  • 6.1.76 未満
  • 6.6.15 未満
  • 6.7.3 未満
  • 6.8-rc1

主要なLinuxディストリビューションも影響を受けます。これには、Debian、Fedora、Red Hat (RHEL)、Ubuntu、AlmaLinux、Gentoo、SUSE、Amazon Linux、Oracle Linux、Rocky Linuxなどが含まれます。

2.2 影響を受ける設定

本脆弱性を悪用するには、特定のシステム設定が必要です。

  • ユーザー名前空間が有効であること: sysctl kernel.unprivileged_userns_clone = 1 の設定が必要です。
  • nf_tablesモジュールが有効であること: Netfilterのnf_tablesコンポーネントが利用可能である必要があります。

これらの設定は、多くの主要なエンタープライズディストリビューションやクラウド最適化イメージでデフォルトで有効になっているため、攻撃対象領域が広くなっています。

3. 影響を受けた時の兆候

システムが本脆弱性によって影響を受けた場合の兆候としては、以下が挙げられます。

  • 異常なカーネルパニックログ
  • 予期しないシステム再起動
  • システムバイナリの改ざん
  • ランサムウェアキャンペーンでの積極的な悪用が確認されているため、ランサムウェア活動の兆候も関連する可能性があります。

4. 推奨対策

4.1 本対策

Linuxカーネルを、本脆弱性が修正されたバージョンにアップグレードすることが最も推奨される対策です。

  • 修正が適用されたカーネルバージョンは以下の通りです。
    • v5.15.149 以降
    • v6.1.76 以降
    • v6.6.15 以降
    • v6.7.3 以降
    • v6.8-rc2 以降

各Linuxディストリビューションから提供される公式のセキュリティアドバイザリを参照し、対応するパッチを適用してください。

4.2 暫定回避策（緩和策）

パッチの適用がすぐにできない場合、以下の暫定的な回避策を検討してください。

  • nf_tablesモジュールのロードを禁止する（ブラックリストに追加する）: nf_tablesカーネルモジュールが必要ない場合やほとんど使用していない場合は、ロードされないように設定します。
  • ユーザー名前空間へのアクセスを制限する: 攻撃対象領域を制限するために、sysctl kernel.unprivileged_userns_cloneの値を0に設定するなどして、非特権ユーザーによるユーザー名前空間の作成を制限します。
  • Linux Kernel Runtime Guard (LKRG) モジュールをロードする: LKRGは、カーネルレベルの攻撃からシステムを保護するためのランタイムセキュリティモジュールです。

他に解説すべき観点

  • 公開と悪用の経緯:
    • 2024年1月31日にNVDに登録され、脆弱性の詳細が公開されました。
    • 2024年3月末には、脆弱性を報告した研究者によって詳細な解説と概念実証（PoC）コードが公開されました。
    • 2024年5月30日、CISAは本脆弱性をKEVカタログに追加し、積極的に悪用されていることを警告しました。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る