今週のセキュリティダイジェストのトピックは以下の通りです。
- Linux カーネルのメモリサブシステムにおける競合状態。
- Zimbra のゼロデイにつながる UnRAR ソフトウェアのパストラバーサル脆弱性。
- インテル社製CPUのアーキテクチャ上のバグを発見。
Linux Kernel の脆弱性 - CVE-2022-2590
Red Hat の David Hildenbrand 氏と VMware の Amit Nadav 氏は、Linux カーネルバージョン5.16以降に、共有メモリ (shmem/tmpfs) ファイルの内容を不正に変更される可能性のある脆弱性を発見したことを明らかにしました。この脆弱性は、「Dirty COW vulnerability restricted to tmpfs/shmem」と呼ばれ、Linuxのメモリ管理サブシステムのコピーオンライト機構における競合状態を悪用し、ローカル認証ユーザーがシステム上で特権を昇格させることができる可能性があります。x86-64およびaarch64プラットフォームが影響を受けます。
コピーオンライトは、データベース、ファイルシステム、OSなど様々なシステムで実装されている資源管理戦略である。簡単に説明すると、異なるプロセスがメモリ内の同じリソース/オブジェクトにアクセスしている場合、あるプロセスが共有リソースに書き込もうとすると、ページフォルトが発生し、カーネルは書き込みプロセス用にリソースの新しいプライベートコピーを作成するのです。これにより、データの破損や、共有リソースへの書き込みが他のプロセスから見えるようになることを防ぐことができます。この脆弱性の影響は、/tmp, /var/lock, /var/run, /dev/shm ディレクトリのマウントに最もよく使用される tmpfs ファイルシステムに限定されるようです。
悪用するための前提条件は、カーネルがCONFIG_USERFAULTFD=yでコンパイルされており、ユーザー空間のプロセスがuserfaultfdシステムコールを通じてページフォルトを処理できるようになっていることです。
詳細は、上流のコミットパッチに記載されています。
UnRARにおけるパストラバーサルの脆弱性
Unix/Linux版のUnRARソフトウェアにパストラバーサル脆弱性があることが、SonarSourceの研究者であるSimon Scannell氏によって6月下旬に発見されました。この脆弱性は、CVE-2022-30333として追跡されており、ユーザーまたはサービスが悪意を持って作成されたRARアーカイブを展開しようとすると、展開先のフォルダー外にファイルが作成されてしまうというものです。
Zimbra は、Linux で利用可能なコラボレーションソフトウェアおよび電子メールプラットフォ ームとして人気があります。サーバーにインストールされたパッチの適用されていないUnRARを悪用するゼロデイ攻撃キャンペーンが進行中で、その一端を担っています。このため、米国のCybersecurity andインフラ Security Agency (CISA) は、UnRARの欠陥をKnown Exploited Vulnerabilities Catalogに追加しました。
SonarSourceのブログによると、脅威者は悪意のある.rar添付ファイルを含むメールをZimbraインスタンスに送信することができ、メールは受信メッセージの解析とチェックを担当するAmavisサービスを通過するとのことです。このサービスは、スパムやマルウェアのチェックを行うために電子メールの添付ファイルを抽出することもでき、ユーザの操作は必要ありません。Amavis は、あらゆる .rar 添付ファイルを抽出するために UnRAR に依存しているため、攻撃者は、ターゲットシステム上に任意のファイルをドロップしたり、Zimbra インスタンスを侵害するために UnRAR の脆弱性を悪用してリモートコード実行を達成したりすることができます。
UnRARの脆弱性は、RarLabがソースコードバージョン6.1.7で対処し、バージョン6.12でパッチを適用しています。Zimbra社は、同社のサービスとプラットフォームに対する最新のアップデートで、この欠陥を緩和している。
インテルCPUのアーキテクチャ上のバグ「PICリーク」。
ローマ・サピエンツァ大学、グラーツ工科大学、Amazon Web Services、CISPA Helmholtz Center for Information Securityの研究者が共同で、第10、11、12世代のインテル製CPUに影響を与えるアーキテクチャーのバグを発見しました。この欠陥は、APIC（Advanced Programmable Interrupt Controller）CPUコンポーネントにあり、プロセッサコアへの割り込みの受け入れ、優先順位付け、ディスパッチに関与しています。この欠陥が悪用されると、APICのMMIOに管理者権限またはルート権限が必要となり、プロセッサから機密情報が漏洩する可能性があります。
ÆPIC Leakのウェブサイトに記載されているように、このバグはMeltdownやSpectreの脆弱性とは異なり、サイドチャネル攻撃に頼らずに機密データを開示することができます。また、クラウドのワークロードは、ハイパーバイザーから下位ハードウェアのAdvanced Programmable Interrupt Controllerへの直接アクセスを認められていないため、クラウドVMによって脆弱性が悪用されるリスクは軽減される。
インテルは、この脆弱性に対応するためのバグとファームウェアのアップデートに関するセキュリティアドバイザリを公開しています。
今週のトレンド脆弱性
- cve-2022-27925:Zimbra Collaboration におけるディレクトリトラバーサル
- CVE-2022-37042: Zimbra Collaboration suite に、ディレクトリトラバーサルの可能性とリモートコードの実行の可能性がある。
- cve-2022-32893:Safari における任意のコードの実行
- CVE-2022-28756: Zoom Client for Meetings for macOS におけるローカル特権のエスカレーション
- CVE-2022-30190Microsoft Windows Support Diagnostic Tool (MSDT) のリモートコード実行の脆弱性。
コメント