Trusted Design

CVE-2024-50302 の詳細

CVEの情報

説明:
In the Linux kernel, the following vulnerability has been resolved: HID: core: zero-initialize the report buffer Since the report buffer is used by all kinds of drivers in various ways, let's zero-initialize it during allocation to make sure that it can't be ever used to leak kernel memory via specially-crafted report.

CVE更新日: 2024-11-19 02:16:32.320000

CVSSバージョン: 3.1

CVSSスコア: 5.5

KEVの情報

KEV更新日: 2025-03-04

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.008110000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-50302について、以下の観点で解説します。

1. 脆弱性の概要

CVE-2024-50302は、LinuxカーネルのHuman Interface Device (HID) ドライバーに存在する、初期化されていないメモリ使用の脆弱性（CWE-908）です。この脆弱性は、HIDレポートバッファが割り当て時にゼロ初期化されないために発生します。

1.1 影響

攻撃者は悪意のある入力デバイスを使用してレポートバッファから情報を読み取ることができ、これによりカーネルメモリが漏洩する可能性があります。このカーネルメモリの漏洩は、追加の脆弱性を悪用するための足がかりとなる可能性があります。実際、この脆弱性は既に実環境で悪用されており、Cellebrite社のモバイルフォレンジックツールによってAndroid端末のロック解除に利用された事例が報告されています。これは、プライバシーと人権に関する重大な懸念を引き起こします。

1.2 深刻度

  • NVD (CVSS v3.1基本評価): 5.5 (警告/Medium)
  • Red Hat: 6.1 (中程度/Moderate)
  • Tenable: 5.5 (警告/Medium)

CVSSスコアは中程度とされていますが、CISA (Cybersecurity and Infrastructure Security Agency) の既知の悪用されている脆弱性（KEV）カタログに登録されており、実環境での悪用が確認されているため、その潜在的なリスクはCVSSスコアだけでは完全に評価できない点に注意が必要です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

この脆弱性はLinuxカーネルに影響を与えます。具体的には、以下のLinuxカーネルバージョンが影響を受けます。

  • Linux Kernel 3.12 以上 4.19.324 未満
  • Linux Kernel 4.20 以上 5.4.286 未満
  • Linux Kernel 5.5 以上 5.10.230 未満
  • Linux Kernel 5.11 以上 5.15.172 未満
  • Linux Kernel 5.16 以上 6.1.117 未満
  • Linux Kernel 6.2 以上 6.6.61 未満
  • Linux Kernel 6.7 以上 6.11.8 未満
  • Linux Kernel 6.12

また、Google Androidデバイスも影響を受け、2025年3月のセキュリティアップデートで修正が適用されています。Red HatディストリビューションやUbuntuシステムも影響対象です。Azure Linux 3.0も、カーネルバージョンが修正前の場合は影響を受けます。

2.2 影響を受ける設定

この脆弱性は、悪意のあるHuman Interface Device (HID) をエミュレートする、認証されたローカル攻撃者によって悪用される可能性があります。これは、物理的なアクセスまたはローカルシステムへの侵害が必要であることを示唆しています。

3. 影響を受けた時の兆候

この脆弱性はカーネルメモリの漏洩を引き起こし、他の脆弱性と組み合わせて悪用されることが確認されていますが、特定のシステムレベルでの直接的な兆候は詳細に報告されていません。しかし、Googleの2025年3月のAndroidセキュリティに関する公開情報では、CVE-2024-50302が「限定的な標的型攻撃の対象であるという兆候があります」と記されています。CISAがKEVに登録していることから、実環境での悪用が確認されています。

4. 推奨対策

4.1 本対策

ベンダーから提供されているパッチを適用することが最も推奨される対策です。この脆弱性の修正は、HIDレポートバッファを割り当て時にゼロ初期化することによって行われます。

  • Linuxカーネルのパッチは2024年11月にリリースされています。
  • Googleは2025年3月のAndroidセキュリティアップデートにこの修正を含めました。
  • Red HatおよびUbuntuもセキュリティエラッタまたはパッチを提供しています。
  • Linuxシステムの場合、各ディストリビューションのパッケージマネージャー（例: sudo dnf upgrade, sudo apt upgrade）を使用して関連パッケージを更新します。カーネル関連のアップデートの場合、変更を完全に適用するためにシステムの再起動が必要になることがあります。

4.2 暫定回避策（緩和策）

検索結果からは、この脆弱性に対する具体的なソフトウェアベースの暫定回避策は明示されていません。ただし、悪用には悪意のあるHIDのエミュレーションが必要であるため、デバイスへの物理的アクセスを制限し、信頼できない入力デバイスの接続を禁止することが一般的な予防策として考えられます。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る