linux kernelに特権昇格の脆弱性( CVE-2017-6074 )

02/22/2017にkernelのバグによる特権昇格の脆弱性情報(CVE-2017-6074)が公開されました。この脆弱性はImportantで広範囲なバージョン( 約11年前の2.6.18 (Sep 2006)以降全てです)に及ぶため、至急に対処が必要です。今回はこの脆弱性の概要と、各ディストリビューションの対応について簡単にまとめてみます。(PoC記事を別記事として公開しました)。

こんにちは。SIOS OSSエバンジェリスト/セキュリティ担当の面和毅です。

(02/25/2017 00:40更新) RHEL 5版の対応も出ました

(03/06/2017 06:00更新) PoCの記事を別記事として公開しました

一次情報源

http://seclists.org/oss-sec/2017/q1/471

その他

Red Hatで特別にKnowledge Articleが出来てます(英語版ですがまとまってます)

Red Hatでの、上記の日本語訳です。

Priority

Important

修正方法

各ディストリビューションの情報を確認してください。

CVE概要(詳細はCVEのサイトをご確認ください)

CVE-2017-6074
- ローカルユーザの特権昇格の可能性
- 重要度 – Important
- DCCPサポートの部分に二重開放(double-free)の脆弱性があり、CONFIG_IP_DCCPを有効にしてビルドされたkernel(殆どのディストリビューションのkernelが有効にしています)で、これを利用してローカルユーザが特権昇格される可能性が有ります。

暫定対応方法

kernelパッケージを最新に上げることが出来ない場合には、暫定策として、

 # echo "install dccp /bin/true" >> /etc/modprobe.d/disable-dccp.conf

などとして（上記はRHEL/CentOS系の場合の手順)再起動することにより、dccpモジュールを読み込ませないことで対応が可能です。再起動が必要になります

Ubuntuの場合には、/etc/modprobe.d/以下に下記のblacklist-dccp.confを作成して再起動します。

# For CVE-2017-6074
alias net-pf-2-proto-0-type-6 off
alias net-pf-2-proto-33-type-6 off
alias net-pf-10-proto-0-type-6 off
alias net-pf-10-proto-33-type-6 off

また、RHEL7で最新のSELinuxポリシーを使っている場合には、この脆弱性を緩和することが出来ます。

補足：systemtapを使って回避する方法(band-aidと言われていますので、その程度のもの)もあります。詳しくは、https://bugzilla.redhat.com/show_bug.cgi?id=1423071を見て下さい。kernel-debuginfo / kernel-develのインストールが必要になります。また、この方法では再起動すると外れてしまうため、注意が必要です。

PoC

PoCの記事を別記事として公開しました

主なディストリビューションの対応方法

詳細は、各ディストリビューションの提供元にご確認ください

Debian
https://security-tracker.debian.org/tracker/CVE-2017-6074
Red Hat Enterprise Linux/CentOS
https://access.redhat.com/security/cve/CVE-2017-6074
- RHEL 7
  - https://rhn.redhat.com/errata/RHSA-2017-0294.html
- RHEL 6
  - https://rhn.redhat.com/errata/RHSA-2017-0293.html
- RHEL 6.7 Extended Update Support
  - https://rhn.redhat.com/errata/RHSA-2017-0316.html
- RHEL 6.6 Advanced Update Support
  - https://rhn.redhat.com/errata/RHSA-2017-0324.html
- RHEL 5
  - https://rhn.redhat.com/errata/RHSA-2017-0323.html
- Oracle Linux
  - Oracle Linux 7
    http://linux.oracle.com/errata/ELSA-2017-0294.html
  - Oracle Linux 6
    http://linux.oracle.com/errata/ELSA-2017-0293.html
  - Oracle Linux 5
    http://linux.oracle.com/errata/ELSA-2017-0323.html
  - Oracle Linux UEK (5, 6, 7)
    http://linux.oracle.com/errata/ELSA-2017-3520.html
    http://linux.oracle.com/errata/ELSA-2017-3522.html
- ubuntu
  https://people.canonical.com/~ubuntu-security/cve/2017/CVE-2017-6074.html
- SUSE/openSUSE
  https://www.suse.com/security/cve/CVE-2017-6074.html

対処方法

各ディストリビューションの案内に従い、アップデートを行ってください。全てのRed Hat製品でパッチが行き渡っているかを確認するには、Red Hat Satelliteを使うと管理が便利でしょう。

Red Hat Satelliteを用いた一般的なErattaの適用は、『Red Hat Satellite 6でerrataを適用してみる』を
参考にして下さい。

また、OSの再起動が発生しますので、pacemakerなどOSSのクラスタ製品やLifeKeeperなどの商用のクラスタリング製品を使うとサービス断の時間を最小限にすることが出来ます。

[参考]

http://seclists.org/oss-sec/2017/q1/471

セキュリティ系書籍案内

技術評論社より、2/23に『【イラスト図解満載】情報セキュリティの基礎知識』が発刊されます。セキュリティの要素技術がイラスト図解でやさしく解説されており、初心者にもわかりやすくなっていますのでお薦めです。

セミナー情報

3/10(金)の12:00から、明星大学日野キャンパス(多摩モノレール「中央大学・明星>大学駅」から大学まで直結。会場まで徒歩6分）にて開催されるオープンソースカンファレン
ス2017 Tokyo/Springで、本ブログ執筆者の面　和毅がOSSセキュリティ技術の会発足の紹
介として、プラットフォームの全般的なセキュリティの紹介を行います。OSCに参加>される方、またお近くの方で御時間が有りましたら、是非ご参加下さい。

関連コンテンツ: linux kernelの脆弱性(CVE-2016-5696, (was CVE-2016-5389)); linux kernelの脆弱性( CVE-2016-9576 ); linux kernelの複数の脆弱性(CVE-2015-8767, CVE-2016-4565); linux kernel(KVMを有効にしている場合)で複数の脆弱性( CVE-2016-10150, CVE-2017-2583 ); linux kernelの脆弱性( CVE-2016-7039 ); linux kernelの脆弱性(CVE-2016-8646); linux kernelの脆弱性( CVE-2017-5970 )

—–