Trusted Design

解説:

CVE-2013-2094は、Linuxカーネルに存在する権限昇格の脆弱性です。以下に詳細を解説します。

1. 脆弱性の概要

1.1 影響

Linuxカーネルのperf_swevent_init関数における不適切な整数データ型の使用により、ローカルユーザーが細工されたperf_event_openシステムコールを介して権限を昇格できる脆弱性です。攻撃者は、これにより不正な（root）権限を取得し、システムの不正アクセス、システムの侵害、任意のコード実行、マルウェアのインストール、システム設定の操作、サービスの妨害などにつながる可能性があります。

1.2 深刻度

この脆弱性の深刻度は「高」と評価されています。CVSSv2の基本スコアは8.4（NVD）、Red HatによるCVSSv3.1のスコアも8.4です。この脆弱性はCISAの既知の悪用されている脆弱性（KEV）カタログにリストされており、実際に悪用されていることが確認されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Linuxカーネルのバージョン3.8.9より前が影響を受けます。具体的には、カーネルバージョン2.6.37から3.8.9までが脆弱です。CentOSなど一部のディストリビューションでは、2.6.32にもこの脆弱性がバックポートされています。

また、Android 4.0（Ice Cream Sandwich）および4.1/4.2（Jelly Bean）は、一般的にカーネル3.0または3.4を使用しているため、この脆弱性の影響を受ける可能性が高いとされています。Red Hat Enterprise Linux 6（6.0を除く）も影響を受け、RHSA-2013:0830などの修正が提供されました。

2.2 影響を受ける設定

この脆弱性は、カーネルがPERF_EVENTSオプションを有効にしてコンパイルされている場合に存在します。これは多くのLinuxディストリビューションで一般的な設定です。 脆弱性の根本原因は、kernel/events/core.c内のperf_swevent_init関数が、ユーザー空間から渡される64ビットのattribute configurationを適切に処理せず、不適切な整数データ型を使用していることにあります。これにより、perf_swevent_enabled配列への範囲外アクセスが発生します。

3. 影響を受けた時の兆候

この脆弱性はローカルでの権限昇格であるため、攻撃者は事前にシステムへのローカルアクセスが必要です。 この脆弱性自体が悪用された際に、システムが異常動作するなどの直接的な兆候は、検索結果には明示されていません。主な影響は、攻撃者がroot権限を獲得することであり、その後、不正なデータアクセスやシステム設定の変更、マルウェアのインストールといった二次的な活動が行われる可能性があり、それらの活動に起因する兆候が現れることがあります。

4. 推奨対策

4.1 本対策

• ベンダーが提供するパッチを適用し、Linuxカーネルをバージョン3.8.9以降に更新してください。 具体的には、Linuxカーネル3.0.75以降、3.2.45以降、3.4.42以降、または3.8.9以降へのアップデートが修正済みバージョンとして挙げられています。
• Red Hat Enterprise Linux 6については、RHSA-2013:0830および関連する拡張サポート版（6.1、6.2、6.3）のRHSAによってこの問題が解決されています。
• 本脆弱性は積極的に悪用されていることが確認されているため、パッチ適用を最優先で実施することが推奨されます。
• 影響を受けるシステムを迅速に特定できるよう、正確な資産インベントリを維持してください。
• コードレビューや自動テストなどのセキュリティベストプラクティスを導入することが重要です。
• 修正は、perf_swevent_init関数内のevent_idのデータ型をintからu64に変更することで行われます。

4.2 暫定回避策（緩和策）

• 新しいカーネルがリリースされるまでの暫定的な回避策として、kprobeフレームワークを使用して、実行時にカーネルモジュールを作成し、修正を「注入」することができます。これにより、再起動なしで即座に修正を適用できます。
• SystemTapモジュールを生成して実行時にロードすることで、特にRHEL6のようなEnterprise Linuxシステムにおいてこの脆弱性を緩和できます。ただし、これらのモジュールはシステムを再起動するたびに再ロードする必要があります。

5. 他に解説すべき観点

• 攻撃の複雑さ: 低い
• 必要な特権: なし。ローカルユーザーが特権なしで悪用可能です。
• ユーザーとの対話: 不要
• エクスプロイトの状況: 2013年5月14日に公開されており、エクスプロイトコードが容易に入手可能です。また、CISAのKEV（Known Exploited Vulnerabilities）カタログに含まれており、実際に悪用されていることが確認されています。

参照したサイト

• CVE-2013-2094 | High Vulnerability in Linux Kernel - Appsecure Security
• CVE-2013-2094 - Red Hat Customer Portal
• NVD-CVE-2013-2094 - NIST
• CVE-2013-2094: Linux privilege escalation - SANS ISC
• Linux PERF_EVENTS root exploit - CVE-2013-2094 (quick way to fix it) - arighi's blog
• CVE-2013-2094: Undefined Security Weakness | Rapid7 Vulnerability Database
• Linux Kernel < 3.8.9 (x86-64) - 'perf_swevent_init' Local Privilege Escalation (2) - Exploit-DB
• Semtex.c [CVE-2013-2094] - A Linux Privelege Escalation | PDF - Slideshare
• CVE-2013-2094 - 通信用語の基礎知識
• CVE-2013-2094 (Linuxカーネル権限昇格の脆弱性) - ろば電子が詰まつてゐる
• CVE-2013-2094 — Linux Kernel Privilege Escalation Vulnerability - eVulnAble
• CVE-2013-2094 - Linux Kernel vulnerability - basicsecurity.net
• 生成可移植的SystemTap内核模块，用于缓解Enterprise Linux系统上的CVE-2013-2094漏洞
• CVE-2013-2094: Linux 커널 권한 상승 취약점 - Kitploit
• 关于Linux机型Kernel安全漏洞CVE-2013-2094问题说明 - Sony