Trusted Design

CVE-2024-53150 の詳細

CVEの情報

説明:
In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix out of bounds reads when finding clock sources The current USB-audio driver code doesn't check bLength of each descriptor at traversing for clock descriptors. That is, when a device provides a bogus descriptor with a shorter bLength, the driver might hit out-of-bounds reads. For addressing it, this patch adds sanity checks to the validator functions for the clock descriptor traversal. When the descriptor length is shorter than expected, it's skipped in the loop. For the clock source and clock multiplier descriptors, we can just check bLength against the sizeof() of each descriptor type. OTOH, the clock selector descriptor of UAC2 and UAC3 has an array of bNrInPins elements and two more fields at its tail, hence those have to be checked in addition to the sizeof() check.

CVE更新日: 2024-12-24 12:15:23.117000

CVSSバージョン: 3.1

CVSSスコア: 7.1

KEVの情報

KEV更新日: 2025-04-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.013540000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-53150に関する脆弱性調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2024-53150は、LinuxカーネルのALSA USB-オーディオドライバーに存在する境界外読み取り（Out-of-bounds Read）の脆弱性（CWE-125）です。この脆弱性は、USB記述子を走査する際に、ドライバーが各USB記述子のbLengthフィールドを適切に検証しないことに起因します。悪意のある、または不正な形式のUSBデバイスが、期待されるよりも短いbLengthを持つ記述子を提供すると、ドライバーが割り当てられたバッファの範囲を超えてメモリを読み取ってしまう可能性があります。

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用されている脆弱性（KEV）カタログに追加しており、実環境で積極的に悪用されていることが確認されています。

1.1 影響

この脆弱性が悪用されると、以下のような影響が発生する可能性があります。

  • カーネルメモリの内容漏洩（情報漏洩）
  • サービス拒否（Denial of Service; DoS）またはオーディオサブシステムのクラッシュ
  • 物理的なアクセスが可能な攻撃者が、細工されたUSBデバイスを使用して任意のシステムメモリを読み取り、追加のアクセス権限を取得する
  • 特権昇格

1.2 深刻度

CVSSv3.1ベーススコアは7.1で、「High」（高）と評価されています。Red Hatは「Moderate」（中）と評価していますが、これはCVSSスコア7.1を伴っています。CISAが既知の悪用されている脆弱性としてカタログに追加していることから、実環境での悪用が確認されており、高い注意が必要です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Linuxカーネル
    • 特に以下のバージョンより前の安定版ブランチ:
      • 5.4.287より前
      • 5.10.231より前
      • 5.15.174より前
      • 6.1.120より前
      • 6.6.64より前
      • 6.11.11より前
      • 6.12.2より前
  • Debian Linuxディストリビューション
  • Ubuntu (以下のバージョン):
    • 14.04 ESM, 16.04 ESM, 18.04 ESM
    • 14.04 LTS, 16.04 LTS, 18.04 LTS, 20.04 LTS, 22.04 LTS, 24.04 LTS
    • 24.10
  • Red Hat Enterprise Linux 8, 9
  • Android (パッチレベル2025-04-05より前)

2.2 影響を受ける設定

  • ALSA USB-オーディオドライバーがシステム上で有効になっている環境。
  • USBデバイスの接続が許可されている環境。

3. 影響を受けた時の兆候

  • dmesgやjournalctlに、不正な記述子に関する警告を伴う予期しないUSB-オーディオデバイスの列挙イベントが発生する。
  • parse_audio_unit、snd_usb_find_clock_source、またはsnd_usb_find_clock_selectorなどの関数を参照するカーネルoops、panic、またはKASANレポート。
  • 不正なハードウェアからのUSBデバイスの繰り返し接続/切断サイクル。
  • その他の未定義または予期しないシステム動作。

4. 推奨対策

4.1 本対策

  • Linuxカーネルのアップデート: 影響を受けるLinuxカーネルを、脆弱性が修正されたバージョンに更新してください。
    • 具体的には、Linuxカーネル5.4.287、5.10.231、5.15.174、6.1.120、6.6.64、6.11.11、6.12.2以降のバージョンに更新することを推奨します。
    • Debian Linuxを使用している場合は、Debian LTSのセキュリティアナウンスを確認し、提供されているパッチを適用してください。
    • Ubuntuを使用している場合は、Ubuntuのセキュリティ通知（USN）に従い、関連するアップデートを適用してください。
    • Androidデバイスの場合、セキュリティパッチレベル2025-04-05以降に更新してください。

4.2 暫定回避策（緩和策）

  • snd-usb-audioモジュールのロードを防止する: snd-usb-audioモジュールが自動ロードされないように設定します。具体的には、/etc/modprobe.d/disable-snd-usb-audio.confファイルにecho "install snd_usb_audio /bin/true"を追加し、システムを再起動します。ただし、このモジュールがシステムの正常な動作に必須である場合は、この緩和策は適切でない可能性があります。
  • 物理的およびUSBアクセスの制限: 信頼できるデバイスからの物理的およびUSBアクセスのみを許可するよう制限を設けてください。
  • USBオーディオ機能の無効化: システムでUSBオーディオ機能が不要な場合は、無効にすることを検討してください。

他に解説すべき観点

  • CWE (Common Weakness Enumeration): この脆弱性はCWE-125（Out-of-bounds Read）に分類されます。これは、プログラムが配列やバッファの境界を越えてデータを読み取る際に発生するメモリ安全性の問題を示しています。
  • 悪用状況: CISAのKEVカタログに登録されていることは、この脆弱性が単なる理論上のリスクではなく、実際に攻撃者によって活発に悪用されている具体的な脅威であることを意味します。
  • 攻撃要件: この脆弱性を悪用するためには、攻撃者が細工された悪意のあるUSBオーディオデバイスを対象システムに物理的に接続できる必要があります。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る