未修正のLinuxカーネル脆弱性レポートが公開メーリングリストに誤投稿
CVSS 9.0の脆弱性を含む未修正のLinuxカーネル脆弱性レポートが公開メーリングリストに誤って投稿された。ZDIが関与している可能性がある。
未修正のLinuxカーネル脆弱性レポートの一式が、非公開のセキュリティ用メーリングリストではなく公開メーリングリストに投稿された。レポートの一部はCVSSスコア9.0と評価されている。この事実はPC Gamerが伝えた。
レポートはTrend MicroのZero Day Initiative（ZDI）から送信されたものとみられる。安定版カーネルブランチを維持するGreg Kroah-Hartman氏は各レポートに返信し、提出プロセスの修正を求めた。
公開された脆弱性の詳細
公開されたレポートには複数の脆弱性が含まれる。ZDI-CAN-33549は整数アンダーフローに起因するSMB Directのリモートコード実行で、CVSS 9.0。ZDI-CAN-33774はKSMBDの競合状態によるリモートコード実行で、同じくCVSS 9.0と評価されている。
さらに、ZDI-CAN-33367はskbuffのskb_zerocopyネットワークコードの欠陥でローカル権限昇格を引き起こす可能性がある。ZDI-CAN-34068はVMwareグラフィックスドライバーVMWGFXの範囲外書き込みによるローカル権限昇格、ZDI-CAN-34076はNVMETコードの未初期化リソースによる情報漏えい、ZDI-CAN-32005は検索ドメインのTCPクエリにおけるスタックバッファオーバーフローによるローカル権限昇格につながる。
影響を受ける修正の一部はテスト中か、ベータブランチまたは-nextブランチでキューに入っている状態だ。
PhoronixのMichael Larabel氏がこのインシデントを報じた。同氏によると、レポートは非公開のセキュリティメーリングリストではなく公開メーリングリストに送信された。また、カーネル開発者は前週、ZDI-CAN-33367と同じskbuff問題について別の情報源からセキュリティレポートを受け取っていた。ZDI-CAN-32005は他のレポートより1日前にメーリングリストに投稿された。
よくある質問
どのような脆弱性が公開されましたか？
SMB Directのリモートコード実行（ZDI-CAN-33549、CVSS 9.0）やKSMBDの競合状態（ZDI-CAN-33774、CVSS 9.0）など、複数の未修正脆弱性が含まれています。
誰がレポートを送信しましたか？
レポートはTrend MicroのZero Day Initiative（ZDI）から送信されたものとみられます。
Greg Kroah-Hartman氏はどう対応しましたか？
安定版カーネルブランチを維持するGreg Kroah-Hartman氏は各レポートに返信し、提出プロセスの修正を求めました。