Trusted Design

CVE-2016-5195 の詳細

CVEの情報

説明:
Race condition in mm/gup.c in the Linux kernel 2.x through 4.x before 4.8.3 allows local users to gain privileges by leveraging incorrect handling of a copy-on-write (COW) feature to write to a read-only memory mapping, as exploited in the wild in October 2016, aka "Dirty COW."

CVE更新日: 2016-11-10 21:59:00.197000

CVSSバージョン: 3.1

CVSSスコア: 7.0

KEVの情報

KEV更新日: 2022-03-03

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.835240000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2016-5195 (Dirty COW) の解説

1. 脆弱性の概要

CVE-2016-5195は、「Dirty COW（Dirty copy-on-write）」として知られるLinuxカーネルのメモリサブシステムにおけるローカル権限昇格の脆弱性です。この脆弱性は、Linuxカーネルの「copy-on-write (COW)」機構の処理方法における競合状態に起因します。権限を持たないローカルユーザーが、通常は読み取り専用であるメモリマッピング領域への書き込みアクセス権を取得し、システム上で自身の権限を昇格させることが可能になります。

1.1 影響

この脆弱性が悪用されると、攻撃者は低レベルのユーザーからroot権限を含むフル特権を持つユーザーに権限を昇格させることができます。これにより、通常は変更できないバイナリやファイルを変更することが可能になります。例えば、/etc/passwd ファイルのユーザーID (UID) を上書きしたり、既存のsetuidファイルに特権昇格の命令を含めるように変更したりすることができます。 攻撃が成功した場合、ログに痕跡を残しにくく、検出が難しいという特徴もあります。

1.2 深刻度

  • CVSS v3.0 基本値: 8.4 (重要)
    • 攻撃元区分: ローカル
    • 攻撃条件の複雑さ: 低
    • 攻撃に必要な特権レベル: 不要
    • ユーザー関与: 不要
    • 機密性への影響: 高
    • 完全性への影響: 高
    • 可用性への影響: 高
  • CVSS v2.0 基本値: 7.2 (危険)
    • 攻撃元区分: ローカル
    • 攻撃条件の複雑さ: 低
    • 攻撃前の認証要否: 不要
    • 機密性への影響: 全面的
    • 完全性への影響: 全面的
    • 可用性への影響: 全面的
  • Red Hatでは、この脆弱性を「Important」としています。 Palo Alto Networksでは「HIGH」と評価しています。

2. 対象となる環境

この脆弱性は、Linuxカーネルの2.6.22以降のバージョンから存在し、2018年以前に作成された古いバージョンのLinuxカーネルを使用しているすべてのLinuxベースのオペレーティングシステムに影響を与えます。

2.1 影響を受けるOSバージョン

  • Linuxカーネル バージョン2.6.22以降
  • Linuxカーネル 4.8.3より前のバージョン
  • Linuxカーネル 4.7.9より前のバージョン
  • Linuxカーネル 4.4.26より前のバージョン
  • Red Hat Enterprise Linux (RHEL) 5, 6, 7 および MRG 2.x
  • Debian GNU/Linux
  • Ubuntu (Ubuntu Coreを含む)
  • SUSE Linux Enterprise 11および12
  • Androidデバイス
  • Palo Alto Networks PAN-OS 5.1, 6.0, 6.1, 7.0.13, 7.1.7およびそれ以前

2.2 影響を受ける設定

特定のソフトウェアやシステム設定に依存せず、脆弱なバージョンのLinuxカーネルを使用しているシステム全般が影響を受けます。攻撃者はエクスプロイトを成功させるために、すでにサーバーへのアクセス権を持っている必要があります。

3. 影響を受けた時の兆候

この脆弱性を悪用した攻撃は、ログに痕跡を残しにくいため、直接的な兆候を特定することは困難です。 しかし、システム上で予期せぬ挙動や、特定のファイル（例: /etc/passwd）が不正に変更されているなどの兆候があれば、攻撃を受けた可能性があります。

4. 推奨対策

4.1 本対策

各Linuxディストリビューターが提供する修正プログラム（パッチ）を適用し、カーネルを最新バージョンにアップデートすることが推奨されます。

  • Linuxカーネル: バージョン4.8.3、4.7.9、4.4.26以降のバージョンで修正されています。
  • Red Hat Enterprise Linux: 修正済みのカーネルパッケージが提供されています。 sudo yum update コマンドで更新できます。
  • Ubuntu/Debian/SUSE: 各ディストリビューターから修正プログラムが公開されています。 Ubuntuでは sudo apt-get update と sudo apt-get dist-upgrade で更新できます。
  • Movable Type for AWS: 対策済みパッケージが配布されており、稼働中のインスタンスではお客様自身でのアップデートが必要です。

カーネルのアップデート後は、システムを再起動することが重要です。

4.2 暫定回避策（緩和策）

  • SystemTapの使用: RHEL 5および6など、kpatchをサポートしていないシステム向けに、SystemTapスクリプトを使用して、システム実行中にパッチを適用し、脆弱なシステムコールを傍受することで、再起動なしでシステムを保護できる一時的な回避策があります。ただし、ウイルススキャナーに影響を与える可能性があるため、ベンダーに確認が必要です。
  • SELinux/AppArmorの有効化: SELinuxやAppArmorのようなMandatory Access Control (MAC) フレームワークは、不正なファイル変更を防ぐのに役立ちます。 ただし、ローカルユーザーによる攻撃はSELinuxなどでも防げない場合があるため、リモートからローカルへの侵入を防ぐ多層防御が重要です。
  • 管理ネットワークへのアクセス制限: Palo Alto Networksは、Webインターフェースへのアクセスを専用の管理ネットワークにのみ許可し、IPアドレスを許可されたソースのサブセットに制限するベストプラクティスを推奨しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る