Trusted Design

CVE-2024-53197 の詳細

CVEの情報

説明:
In the Linux kernel, the following vulnerability has been resolved: ALSA: usb-audio: Fix potential out-of-bound accesses for Extigy and Mbox devices A bogus device can provide a bNumConfigurations value that exceeds the initial value used in usb_get_configuration for allocating dev->config. This can lead to out-of-bounds accesses later, e.g. in usb_destroy_configuration.

CVE更新日: 2024-12-27 14:15:27.383000

CVSSバージョン: 3.1

CVSSスコア: 7.8

KEVの情報

KEV更新日: 2025-04-09

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.041170000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: False

AIを使った解説

解説:

CVE-2024-53197に関する脆弱性の調査結果を以下に解説します。

1. 脆弱性の概要

LinuxカーネルのUSBオーディオドライバーに存在する、境界外書き込みの脆弱性です。この脆弱性は、悪意のあるUSBデバイスがbNumConfigurations値を不適切に処理することによって引き起こされます。特に、Creative ExtigyおよびDigidesign Mbox USBオーディオデバイスの処理コードに影響を与えます。

1.1 影響

攻撃者は物理的にシステムにアクセスできる場合、悪意のあるUSBデバイスを使用することで追加のアクセス権限を獲得する可能性があります。この脆弱性が悪用されると、カーネルメモリの破損、特権昇格、任意のコード実行、またはシステムクラッシュにつながる可能性があります。機密性、完全性、可用性のすべてに影響を及ぼす可能性があります。

1.2 深刻度

  • Red Hatはこの脆弱性を「Important（重要）」と評価しています。
  • 共通脆弱性評価システム (CVSSv3.1) のベーススコアは7.8で、「High（高）」と評価されています。
  • この脆弱性は、米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）の「悪用が確認された脆弱性カタログ（KEV）」に登録されており、限定的な標的型攻撃で実際に悪用されたことが報告されています。
  • NVDでの公開日は2024年12月27日です。

2. 対象となる環境

2.1 影響を受けるOSバージョン

  • Linux Kernel
    • Linux Kernel 2.6.12以上 4.19.325未満
    • Linux Kernel 4.20以上 5.4.287未満
    • Linux Kernel 5.5以上 5.10.231未満
    • Linux Kernel 5.11以上 5.15.174未満
    • Linux Kernel 5.16以上 6.1.120未満
    • Linux Kernel 6.2以上 6.6.64未満
    • Linux Kernel 6.7以上 6.11.11未満
    • Linux Kernel 6.12以上 6.12.2未満
  • Debian Linux 11.0
  • 脆弱なカーネルバージョンとALSA USBオーディオサポートを搭載した他のLinuxディストリビューション。
  • Ubuntuも影響を受けます。

2.2 影響を受ける設定

  • LinuxカーネルのALSA USBオーディオサブシステムが有効になっている環境。
  • 具体的には、snd-usb-audioモジュールがロードされているシステムが影響を受けます。

3. 影響を受けた時の兆候

  • 物理的なアクセスを持つ攻撃者が悪意のあるUSBデバイスを接続することで、システム上で予期せぬ動作やクラッシュが発生する可能性があります。
  • 特権昇格や任意のコードが実行される兆候が見られる場合がありますが、これは一般的にシステムの異常な振る舞いやログから検出されることが多いです。
  • CISAによって「悪用が確認された脆弱性」としてカタログに追加されており、実際に限定的な標的型攻撃で悪用されていることが報告されています。

4. 推奨対策

4.1 本対策

  • Linuxカーネルのアップデート: 修正パッチが適用された最新のLinuxカーネルバージョンにアップデートしてください。
    • 各Linuxディストリビューションから提供されるセキュリティアップデートを適用することが重要です。
    • カーネルのアップデート後には、多くの場合OSの再起動が必要となります。

4.2 暫定回避策（緩和策）

  • snd-usb-audioモジュールのロード禁止: USBオーディオ機能が不要なシステムの場合、snd-usb-audioモジュールがロードされないように設定することで、この脆弱性の影響を緩和できます。
    • 以下のコマンドを実行し、モジュールの自動ロードを無効にします。 bash # echo "install snd_usb_audio /bin/true" >> /etc/modprobe.d/disable-snd-usb-audio.conf
    • モジュールが既にロードされている場合、設定を有効にするにはシステムを再起動する必要があります。
    • この緩和策は、システムがこのモジュールを正常な動作に必要とする場合には適していません。

他に解説すべき観点

  • 共通脆弱性タイプ識別子（CWE）:
    • CWE-120: Buffer Copy without Checking Size of Input（入力サイズの確認を伴わないバッファコピー）
    • CWE-787: Out-of-bounds Write（境界外書き込み）
  • CISAの対応: 米国の連邦行政機関に対しては、2025年4月30日までにこの脆弱性へのパッチ適用が義務付けられています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る