Trusted Design

CVE-2015-5287 の詳細

CVEの情報

説明:
The abrt-hook-ccpp help program in Automatic Bug Reporting Tool (ABRT) before 2.7.1 allows local users with certain permissions to gain privileges via a symlink attack on a file with a predictable name, as demonstrated by /var/tmp/abrt/abrt-hax-coredump or /var/spool/abrt/abrt-hax-coredump.

CVE更新日: 2015-12-07 18:59:02.230000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2026-08-26

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.050030000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2015-5287は、Red Hatの自動バグレポートツール（ABRT: Automatic Bug Reporting Tool）に存在する、ローカルの権限昇格の脆弱性です。この脆弱性はCISAの既知の悪用されている脆弱性（KEV）カタログに追加されており、実際に悪用されていることが確認されています。

1. 脆弱性の概要

ABRTのabrt-hook-ccppヘルププログラムにおいて、カーネルが呼び出すコアダンププロセッサが、ABRTプログラムのコアダンプを(/var/spool/abrt)ディレクトリに書き込む際に、シンボリックリンクを適切に処理しない欠陥があります 。これにより、ローカル攻撃者は、予測可能な名前のファイル（例: /var/tmp/abrt/abrt-hax-coredumpまたは/var/spool/abrt/abrt-hax-coredump）に対してシンボリックリンク攻撃を行うことで、特権を昇格させることが可能です 。具体的には、攻撃者は予測可能なコアダンプパスにシンボリックリンクを事前に配置し、'abrt'で始まる名前のプロセスをクラッシュさせることで、ルート権限で実行されているフックが任意の特権ファイルをコアダンプの内容で上書きするように仕向けることができます 。

1.1 影響

ローカル攻撃者が、特定の権限を持つローカルユーザーとして、ABRTダンプディレクトリへの書き込みアクセス権を持っている場合、root権限に昇格できる可能性があります 。これにより、システム上の任意の特権ファイルをコアダンプの内容で上書きされる恐れがあります 。

1.2 深刻度

  • Red Hatは、CVSS v2スコア6.9で「Moderate（中程度）」と評価しています 。
  • NVD (National Vulnerability Database) や他の多くの情報源では、CVSSスコア7.8で「High（高）」と評価されています 。
  • この脆弱性はCISAのKnown Exploited Vulnerabilities (KEV) カタログに掲載されており、現時点で実際に悪用されていることが確認されています 。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Red Hat Enterprise Linux 6および7
  • Oracle Linux 7

2.2 影響を受ける設定

  • Automatic Bug Reporting Tool (ABRT) のバージョン2.7.1より前のバージョン（具体的にはバージョン2.7.0まで）を搭載しているシステムが影響を受けます 。
  • ローカル攻撃者がABRTダンプディレクトリ((/var/spool/abrt))への書き込みアクセス権を持つ場合に影響を受けます 。

3. 影響を受けた時の兆候

この脆弱性は権限昇格を伴うため、以下のような兆候が考えられます。 * システムログに不正なファイルアクセスやパーミッション変更の記録がある。 * 本来アクセス権のないファイルが変更または上書きされている。 * 予期しないルート権限プロセスが実行されている。 * ABRTのコアダンプ関連のファイルが通常とは異なる場所に作成されている。

4. 推奨対策

4.1 本対策

  • ベンダーパッチの適用:
    • ABRTをバージョン2.7.1以降にアップデートする 。
    • Red Hat Enterprise Linux 7の場合、RHSA-2015:2505に含まれるパッケージ（abrt、libreport）を適用する 。
  • 製品の使用中止またはサポートされているバージョンへの移行:
    • 影響を受ける製品がEOL (End-of-Life) または EOS (End-of-Service) である可能性があるため、使用を中止するか、サポートされているバージョンへ移行することが推奨されます 。

4.2 暫定回避策（緩和策）

  • ABRTの無効化または削除:
    • ABRTが運用上不要な場合は、abrtおよびabrt-addon-ccppパッケージを無効化または削除することで、攻撃対象領域を完全に排除できます 。
  • ABRTの設定変更:
    • abrt.confを設定し、ABRTがダンプディレクトリの所有権をクラッシュしたプロセスの所有者に変更するのを防ぐことで、非特権ユーザーがダンプディレクトリの内容に影響を与える条件を制限できます 。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る