Trusted Design

CVE-2023-4911 の詳細

CVEの情報

説明:
A buffer overflow was discovered in the GNU C Library's dynamic loader ld.so while processing the GLIBC_TUNABLES environment variable. This issue could allow a local attacker to use maliciously crafted GLIBC_TUNABLES environment variables when launching binaries with SUID permission to execute code with elevated privileges.

CVE更新日: 2023-10-03 18:15:10.463000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2023-11-21

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.637690000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2023-4911（通称「Looney Tunables」）は、Linuxの標準CライブラリであるGNU C Library (glibc) に存在する深刻な脆弱性です。以下にその詳細を解説します。

1. 脆弱性の概要

GNU C Libraryのダイナミックローダーld.soがGLIBC_TUNABLES環境変数を処理する際にバッファオーバーフローが発生する脆弱性です。この脆弱性を悪用することで、ローカルの攻撃者がSUID権限を持つバイナリを起動する際に細工されたGLIBC_TUNABLES環境変数を使用し、権限昇格を行う可能性があります。

1.1 影響

攻撃者は、この脆弱性を利用してローカル環境でroot権限を取得することが可能です。これにより、システムへの不正アクセス、任意のコード実行、機密情報の漏洩、データの改ざん、およびサービス運用妨害 (DoS) 状態を引き起こす可能性があります。 Qualys Research Labsは、主要なLinuxディストリビューションでroot権限の取得に成功しています。

1.2 深刻度

CVSS v3.1スコアは7.8（High）または8.2（Important/High）と評価されています。 攻撃元の区分はローカル、攻撃条件の複雑さは低、攻撃に必要な特権レベルは低、利用者の関与は不要です。機密性、完全性、可用性への影響はいずれも高とされています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性は、glibcバージョン2.34から2.38までの間に導入されました。 具体的にQualys Research Labsによって脆弱性が確認されたディストリビューションとバージョンは以下の通りです。

  • Fedora 37および38
  • Ubuntu 22.04および23.04
  • Debian 12および13
  • Red Hat Enterprise Linux 8.5以降 (RHEL 8.4以前は影響を受けません)
  • Amazon Linux 1, 2, 2023
  • Gentoo

Alpine Linuxは、glibcの代わりにmusl libcを使用しているため、この脆弱性の影響を受けません。

2.2 影響を受ける設定

この脆弱性は、glibcのダイナミックローダーがGLIBC_TUNABLES環境変数を処理する際に発生します。特に、SUID（Set-User-ID）権限を持つバイナリを実行する際に悪用されます。 特定の「設定」が脆弱性を引き起こすというよりも、glibcのデフォルトの動作とGLIBC_TUNABLES環境変数の処理方法に起因します。

3. 影響を受けた時の兆候

システムがこの脆弱性の影響を受けた際の兆候としては、以下が挙げられます。

  • GLIBC_TUNABLES環境変数が設定されたプロセス、特に異常な値や予期しない値を持つプロセスの監視。
  • 短時間内でのGLIBC_TUNABLES環境変数を含むプロセスの繰り返し実行。
  • セグメンテーション違反（Segmentation Fault）のシグナルやクラッシュの発生。
  • 新しいユーザーアカウントの作成やユーザー権限の変更など、権限昇格や不正アクセスの兆候。
  • システムログにおける異常なアクティビティ。

4. 推奨対策

4.1 本対策

最も推奨される対策は、各Linuxディストリビューションベンダーから提供されているglibcの最新のセキュリティパッチを速やかに適用することです。

  • 影響を受けるバージョンのglibcを、ベンダーが提供する修正済みのバージョン（例: glibc >= 2.39）にアップグレードしてください。

4.2 暫定回避策（緩和策）

パッチをすぐに適用できない場合や、Secure Boot機能が有効になっていないシステム向けに、以下の緩和策が提案されています。

  • SystemTapスクリプトの適用: Red Hatは、すぐに更新できない顧客向けにSystemTapスクリプトを提供しています。このスクリプトを有効にすると、GLIBC_TUNABLES環境変数を用いて呼び出されたSUIDプログラムは直ちに終了します。SUIDプログラムを呼び出すには、ユーザーがGLIBC_TUNABLES環境変数を解除またはクリアする必要があります（例: GLIBC_TUNABLES= sudo）。この緩和策は、システムの再起動後に再度適用する必要があります。
  • 監視の強化: Falcoなどのクラウドネイティブなセキュリティツールは、GLIBC_TUNABLES環境変数やセグメンテーション違反を監視することで、脆弱性の悪用を検知できます。
  • システム隔離: 影響を受けるLinuxシステムをネットワークから隔離し、さらなる悪用や水平移動を防ぐことを検討してください。
  • プロセス停止: GLIBC_TUNABLES環境変数に関連する不審なプロセスを特定し、終了させてください。
  • 環境変数の使用状況の確認: GLIBC_TUNABLES環境変数の正当な使用状況をレビューし、文書化することで、監視における誤検知を減らすことができます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る