こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面 和毅です。
11/29/2022にLinux Kernelの脆弱性(Moderate: CVE-2022-4127, CVE-2022-4128, CVE-2022-4129)が公開されました。今回はこちらの脆弱性の概要と、各ディストリビューションの対応について纏めます。
[過去関連リンク(最新5件)]
Linux Kernelの脆弱性(Moderate: CVE-2022-42895, CVE-2022-42896)
Linux Kernelの脆弱性(Moderate: CVE-2022-3910)
Linux Kernelのi915ドライバの脆弱性(Important: CVE-2022-4139)
Linux Kernelの脆弱性(Important: CVE-2022-42919)
CVSS/プライオリティ
- CVE-2022-4127
- 影響するバージョン
- Linux Kernel < 5.19
- 一時情報源
- Priority
- Red Hat: 5.5 Moderate
- CVSS Score / CVSS Vector
- Red Hat: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- 影響するバージョン
- CVE-2022-4128
- 影響するバージョン
- Linux Kernel < 5.19
- 一時情報源
- Priority
- Red Hat: 5.5 Moderate
- CVSS Score / CVSS Vector
- Red Hat: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- 影響するバージョン
- CVE-2022-4129
- 影響するバージョン
- Linux Kernel < 6.0
- 一時情報源
- Priority
- Red Hat: 5.5 Moderate
- CVSS Score / CVSS Vector
- Red Hat: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
- 影響するバージョン
修正方法
各ディストリビューションの情報を確認してください。
CVE概要(詳細はCVEのサイトをご確認ください)
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-4127
- NULL Pointer被参照の問題
- 該当のLinux Kernelでは、 io_files_update_with_index_alloc()中にNULL Pointer被参照の問題があり、ローカルの攻撃者がシステムをクラッシュさせることが可能です。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-4128
- NULL Pointer被参照の問題
- 該当のLinux Kernelでは、切断時にsubflowリストを横断する際、MPTCPプロトコル中でNULL Pointer被参照の問題があり、ローカルの攻撃者がシステムをクラッシュさせることが可能です。
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-4129
- NULL Pointer被参照の問題
- 該当のLinux Kernelでは、L2TPの実装でsk_user_dataをクリアしている際にlockがきちんと行われていなかったため、競合状態が発生し、NULL Pointer被参照の問題が発生します。ローカルの攻撃者がシステムをクラッシュさせることが可能です。
主なディストリビューションの対応方法
詳細は、各ディストリビューションの提供元にご確認ください
- Debian
- Red Hat Enterprise Linux/CentOS
- Ubuntu
- SUSE/openSUSE
対処方法
各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat SatelliteやKatello、Spacewalk等を使うと管理が便利でしょう。
