Linux Kernelの脆弱性(CVE-2017-1000253) — | サイオスOSS | サイオステクノロジー

Linux Kernelの脆弱性(CVE-2017-1000253)

09/26/2017にLinux Kernelの脆弱性情報(CVE-2017-1000253)が公開されています。広範囲に渡るImportantの脆弱性ですので、今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。

09/26/2017にLinux Kernelの脆弱性情報(CVE-2017-1000253)が公開されています。広範囲に渡るImportantの脆弱性ですので、今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。




Priority

Important

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

  • http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000253
    • ローカルユーザによる特権取得の可能性

    • 重要度 – Important

    • ディストリビューションのロングタームカーネルの中で、2015/4/14にコミットされたパッチが適用されていないものには、ローカルユーザによる特権取得の可能性が有ります。PIE(Position Independent Executable: 位置独立コード)で作成されたアプリケーションがロードされてメモリ上に展開される際に、アプリケーションのデータセグメントがスタック用にリザーブされているメモリ領域に展開されて、メモリ衝突を引き起こす可能性が有ります。これを利用して、ローカルのSUIDビットが立ったPIEバイナリにアクセスできる一般ユーザは、特権を取得できる可能性が有ります。

    • Red Hatの場合にはRHEL 5,RHEL 6と、RHEL 7.4 GAカーネル(3.10.0-693)より前のカーネルに影響が有ります。


緩和方法

mmapレイアウトをtop-downレイアウトからレガシーのbottom-upレイアウトに変更することで、PIE実行ファイルがマップされる領域がスタックとして予約されている領域から遠くなるため、問題を起きにくくすることが出来ます。

大きなリニアアドレス空間を必要とするアプリケーション(幾つかのデータベース等)は、この緩和策を使った場合のbottom-upレイアウトを処理できない場合があるため、余りお薦めは出来ません。また、ASLR(メモリ上に展開する場合のアドレス割当のランダム化)も行われなくなるようです。そのため、なるべくならkernelを更新したほうが良いと思われます。

以下、rootで作業をします。/etc/sysctl.confに下記のパラメータを設定します。

vm.legacy_va_layout = 1

“/sbin/sysctl -p”を実行して、/etc/sysctl.confの値を反映させます。値が設定されたかを確認します。

$ /sbin/sysctl vm.legacy_va_layout
vm.legacy_va_layout = 1

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください


対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

Red Hat Satelliteを用いた一般的なErattaの適用は、『Red Hat Satellite 6でerrataを適用してみる』
参考にして下さい。

また、OSの再起動が発生しますので、pacemakerなどOSSのクラスタ製品LifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

https://access.redhat.com/security/cve/CVE-2017-1000253

http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-1000253

セキュリティ系連載案内


セミナー情報

10/12(水)に「OSSインフラナイターvol.2」と題して、インフラ関連のセミナーを行います。この回では、『OSSエキスパート鼎談シリーズ: ここだけでしか聞けないAnsibleの話 』と題してAnsibleの最新動向から実際の効果を、鼎談を交えて説明致します。

今回も、前回に引き続き、ゲスト講師をお招きし講演をいただきます。

https://connpass.com/event/67715/がプログラム内容と申し込みの詳細になりますので、是非お申し込み下さい。

—–

タイトルとURLをコピーしました