Trusted Design

CVE-2024-53104 の詳細

CVEの情報

説明:
In the Linux kernel, the following vulnerability has been resolved: media: uvcvideo: Skip parsing frames of type UVC_VS_UNDEFINED in uvc_parse_format This can lead to out of bounds writes since frames of this type were not taken into account when calculating the size of the frames buffer in uvc_parse_streaming.

CVE更新日: 2024-12-02 08:15:08.687000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2025-02-05

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.033950000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-53104に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2024-53104は、LinuxカーネルのUSBビデオクラス（UVC）ドライバーに存在する境界外メモリ書き込みの脆弱性です。uvc_parse_format関数が、不明なタイプのフレームディスクリプタ（UVC_VS_UNDEFINED）を適切に処理しないことが原因で、メモリが割り当てられるものの使用されず、結果として境界外書き込みが発生する可能性があります。

1.1 影響

この脆弱性が悪用された場合、攻撃者は権限昇格、任意のコード実行、データの破損、システム不安定化（サービス拒否：クラッシュ、終了、再起動）、または予期せぬシステム状態を引き起こす可能性があります。 ただし、機密性への影響は低いと評価されています。

1.2 深刻度

  • CVSS v3.1 Base Score: 7.8 (High)
  • CVSS Vector: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
  • Red Hat社による評価は「Moderate（中）」です。
  • Ubuntu社はKEV（Known Exploited Vulnerabilities）リストに掲載されていることから「High（高）」としています。
  • CISAのKnown Exploited Vulnerabilities (KEV) Catalogに、実際に悪用が確認された脆弱性として掲載されています。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Linuxカーネル: 2.6.26以降のバージョンで、以下のバージョン未満のものが影響を受けます。
    • 4.19.324未満
    • 5.4.286未満
    • 5.10.230未満
    • 5.15.172未満
    • 6.1.117未満
    • 6.6.61未満
    • 6.11.8未満
    • 6.12.1未満
  • Debian Linux
  • Ubuntu (Ubuntu Proが利用可能な24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS)
  • 主にAndroidデバイスおよび物理的なLinuxコンピューターに影響します。 USBデバイスとの直接的な相互作用がないエンタープライズLinuxサーバーや、USBデバイスへの直接カーネルアクセスを伴わないクラウドおよびコンテナ化されたワークロードでは、関連性は低いとされています。

2.2 影響を受ける設定

  • USBビデオデバイス（ウェブカメラなど）で一般的に使用されるUSB Video Class (UVC) ドライバーを利用しているシステム。
  • 攻撃者がシステムのUSBビデオデバイスによってキャプチャされるビデオストリームのフォーマットに影響を与えることが可能である必要があります。これは、物理的または仮想の悪意のあるデバイスを作成または変更することで達成される可能性があります。
  • 攻撃ベクトルはローカルであり、システムへの認証されたアクセスが必要です。

3. 影響を受けた時の兆候

  • 異常なシステムクラッシュまたはメモリアクセスエラー。
  • ビデオ機能を使用するアプリケーションで予期せぬ動作。
  • 標的型攻撃での悪用が報告されています。

4. 推奨対策

4.1 本対策

  • Linuxカーネルのセキュリティアップデートやパッチを適用してください。
  • Googleは2025年2月のAndroidセキュリティアップデートでこのCVEに明示的に対応しました。
  • ベンダーが公開している情報を参照し、適切な対策を実施してください。

4.2 暫定回避策（緩和策）

  • uvcvideoカーネルモジュールのロードをブロックするために、/etc/modprobe.d/blacklist.confにblacklist uvcvideoの行を追加します。
  • このモジュールを無効にすると、ウェブカメラやビデオキャプチャデバイスなどのUVCデバイスが正しく機能しなくなる点に注意してください。

5. その他解説すべき観点

  • 文脈の重要性: CVE-2024-53104はCISAのKEVリストに掲載されており、Linuxカーネル全体に影響を及ぼしますが、その悪用方法（USBビデオストリーミングと多くの場合物理的アクセスが必要）を考慮すると、主にAndroidデバイスや物理的なLinuxマシンに関連性が高いとされています。
  • 攻撃の複雑性: 悪用に必要な特権は最小限で、攻撃の複雑性は低いとされていますが、ローカルでの攻撃が必要です。 ユーザーの操作は必要ありません。

参照したサイト:

NVDサイト

NVDでCVEの詳細を見る

戻る