本文へ
ハクソク

世界を動かす技術を、日本語で。

複数のLinuxカーネルの脆弱性が誤って公開メールリストに投稿される

元記事: 原文(phoronix.com)

概要

  • Linuxカーネル に関する複数の重大な 脆弱性レポート が、誤って 公開メーリングリスト に投稿
  • 一部は CVSS 9.0 と高評価、 Trend Micro Zero Day Initiative が関与
  • 主要な問題はまだ mainlineで未修正、一部は -nextブランチ でパッチ進行中
  • Greg Kroah-Hartman が誤送信に対応、迅速な対処が求められる状況
  • AI時代で バグ・脆弱性報告 が増加する傾向

Linuxカーネルの重大脆弱性、誤って公開メーリングリストに投稿

  • Trend Microの Zero Day Initiative (ZDI) が、本来は 非公開セキュリティリスト に送るべき脆弱性レポートを 公開Linuxカーネルメーリングリスト（LKML） に投稿
  • Greg Kroah-Hartman が各レポートに対し、なぜ公開リストに投稿したのか質問し対応
  • 報告された脆弱性の多くが 未修正、一部は パッチがテスト中 または -nextブランチ にキューイング済み

主な新規公開脆弱性

  • ZDI-CAN-33549 ： CVSS 9.0 評価、SMB Directにおける整数アンダーフローによる リモートコード実行 脆弱性
    • Linux v7.5向けのGitブランチで パッチ作成済み、mainlineへの迅速な適用が予想
  • ZDI-CAN-33774 ：KSMBDの 競合状態 による リモートコード実行 脆弱性（CVSS 9.0）
  • ZDI-CAN-33367 ：ネットワークコードの skbuff skb_zerocopy に関する ローカル権限昇格 脆弱性
    • 既に別ソースからも報告、 パッチ近日公開予定
  • ZDI-CAN-34068 ：VMWGFX VMwareグラフィックスドライバーの バッファオーバーフロー による ローカル権限昇格
  • ZDI-CAN-34076 ：NVMETコードの 未初期化リソース による 情報漏洩
  • ZDI-CAN-32005 ：search-domain TCPクエリの スタックバッファオーバーフロー による ローカル権限昇格

今後の動向と課題

  • AI技術の進展 により、今後も バグやセキュリティ報告 が増加する傾向
  • Linuxコミュニティ と開発者にとって、 迅速なパッチ適用 と 情報管理 の徹底が重要課題

提供: ハクソク · 要約更新:

AIによる日本語要約です。内容は原文とあわせてご確認ください。

Hacker Newsの議論を読む

Hackerたちの意見

今シーズンは、セキュリティ関連で素晴らしい感じだね。

└

HNではみんながセキュリティエンジニアだよね。

https://hackerone.com の開示プロセスが完全にオープンだから、驚きはないよ。でも、彼らはLinuxを扱う製品から外したみたい。

それってAIが投稿したやつなの？

シミュレーションのシーズンはほんとに面白いね。

└

毎回がクリフハンガーだね。

ヘッドラインにはトレンドマイクロの名前を入れて、恥をかかせるべきだと思う。素人っぽい。

LinuxカーネルはAIを使って見つかったカーネルの脆弱性を公のメーリングリストで報告することを奨励してないの？確か、同じ脆弱性の報告が多すぎてセキュリティメーリングリストが混乱した後に、その方針を導入したはず。

└

一見すると君の言う通りみたいだね。 > バグを特定するためにAIの助けを借りたなら、それは公開情報として扱うべきだよ。

└

その通りだね。もしLLMがそれを発見したなら、別のLLMや同じLLMを使っている他の人も見つけられるはず。実質的にもう公開されてるようなもんだよ。

まだ目がぼやけてるけど、最も深刻なのはSMBとKSMBDにあるみたいで、どうやらカーネル空間で実装されてるらしい。KMBを使ってない人には影響ないと思う。他はLPEだけど、今は2つが削除されちゃったから、詳細はわからない。トレンドマイクロのサイトは「AnthropicでAIネイティブセキュリティを進める」って大きく表示されてる。まあ、そういうことなんだろうね。

ついに今年最後の脆弱性が出たね。

Hacker Newsで議論の続きを見る

同じ出典の記事