新しいUbuntu Linuxのセキュリティ回避策には手動の緩和措置が必要です

Security

記事本文（要約）

Ubuntuの無権限ユーザーの名前空間制限における3つのセキュリティバイパスが発見され、ローカル攻撃者がカーネルコンポーネントの脆弱性を悪用する可能性があると報告されました。これらの問題は、Ubuntuのバージョン23.10と24.04に影響し、ユーザーがフル管理能力を持つユーザ名前空間を作成することを許可します。

Qualysによると、aa-exec、busybox、LD_PRELOADの3つの方法で制限を回避できます。例えば、aa-execを使い特定のAppArmorプロファイルでunshareコマンドを実行したり、busyboxを介してシェルを発動したり、LD_PRELOADを利用して信頼されたプロセス内にライブラリをインジェクトすることでバイパスが可能です。

Ubuntuの運営元であるCanonical社はこれを防御機構の限界と捉え、標準的なリリーススケジュールのもと保護強化を進めるとコメントしています。

※この要約はChatGPTを使用して生成されました。

公開日: Fri, 28 Mar 2025 11:14:34 -0400

Original URL: https://www.bleepingcomputer.com/news/security/new-ubuntu-linux-security-bypasses-require-manual-mitigations/

詳細な技術情報

  • 脆弱性の仕組み
    • Ubuntuの一部のバージョンでは、ユーザー名前空間制限に対するバイパスが可能となっており、以下の3つの手法が使われています：
      • 1. aa-execを用いたバイパス：aa-execツールを介して、AppArmorプロファイル（例：trinity、chrome、flatpak）を利用し、unshareコマンドを実行することにより、名前空間制限を回避します。
      • 2. busyboxを用いたバイパス：Ubuntuにデフォルトでインストールされているbusyboxシェルから、unshareコマンドを実行し、無制限のユーザー名前空間を作成します。
      • 3. LD_PRELOADを用いたバイパス：ダイナミックリンクライブラリのLD_PRELOAD環境変数を利用して信頼されたプロセスにシェルを注入し、権限の高い名前空間を実行します。
  • 攻撃手法
    • 攻撃者は、無権限ユーザーとして以下の攻撃手法を活用できます：
      • 特権昇格：名前空間内で管理者権限を取得し、本来の制限を回避します。
      • カーネル脆弱性の悪用：バイパスされた管理者権限から名前空間内でさらなるカーネル脆弱性を悪用します。
  • 潜在的な影響
    • 権限昇格：無権限ユーザーが管理者レベルの特権を取得でき、安全でない操作を行うことでシステムに影響を与える危険があります。
    • システムの安定性やセキュリティの低下：完全なシステム制御は得られないものの、他のカーネル脆弱性と組み合わせて、システム全体の危険性を増大させる可能性があります。
  • 推奨される対策
    • Canonicalは、これをセキュリティ脆弱性とは見なしていないが、防御措置の限界と位置付けています。ただし、次のような緩和策が推奨されています：
      • 1. AppArmorプロファイルの強化：脆弱な制限を提供するプロファイルの見直しと強化。
      • 2. アップデートの適用：Canonicalからリリースされる保護強化のためのアップデートを適用。
      • 3. 無権限ユーザーの制限：必要に応じて権限を見直し、最小限のアクセスレベルを保持。 これにより、組織は不正アクセスや権限の誤用からの保護を強化することができます。Securityチームとしては、新しい情報が公開された場合に備えて、CVE番号や追加の対策方法について最新情報を追跡することが重要です。