脆弱性Sequoia（CVE-2021-33909）をPCI DSSのプロが解説

Share on social media

Categories : Knowledge-jp

今回明らかになったLinuxの脆弱性は、すべてのLinuxカーネルのOSに関わります。この脆弱性は、Linuxファイルシステムのsize_tからintへの変換を利用して、権限を昇格させられるというものです。root権限を持たない悪意あるユーザーは、1GBを超える長いディレクトリパスを利用してLinuxのファイルシステム内にマウントし、バッファオーバーフローを引き起こして、悪意ある権限昇格を実行します。

PCI DSSの視点から見て、最も懸念される点はOSアカウントのセキュリティです。ホストへのログインが必要かどうかという点から見て、必要のないユーザーのログインを制限して、ディレクトリのマウントやeBPFの使用ができないようにするほか、適切なセキュリティパッチをインストールすべきでしょう。重大なリスクがある場合は、30日以内に新しいパッチを適用してください。

OSアカウントのセキュリティ（PCI DSS Req. 2.1）：サーバ上の不要なデフォルトアカウントが削除されているか、無効となっていることを確認してください。不要なユーザーがログインし、脆弱性を悪用して攻撃することのないよう、すべての機器のデフォルトアカウントが削除されているか、無効になっていることを確認してください。/etc/passwordファイル内のアカウント設定がすでに削除されているか「nologin」に設定されていることを確認するとよいでしょう。
重大なリスクがある場合は30日以内にパッチを適用する（PCI DSS Req. 6.2）：ベンダが提供するセキュリティパッチを適用し、すべてのシステムコンポーネントおよびソフトウェアを既知の脆弱性の影響から守ってください。重要なセキュリティパッチは、ベンダが公開してから1か月以内に適用してください。

OSベンダが関連するパッチを公開しているかどうか確認し、なるべく1か月以内にOSのパッチを適用してください。OSベンダがパッチを公開していない場合は、緩和措置を取ってください。

今回Qualysのセキュリティ研究チームが発表した脆弱性（CVE-2021-33909）に対応するため、現在、各システムベンダが相次いで更新パッチを公開しています。これまでに収集されたリスク判定パッチは下表のとおりです。

出所	リスクレベル
NESSUS https://www.tenable.com/cve/CVE-2021-33909	CVSS (v2) 7.2
NIST NVD https://nvd.nist.gov/vuln/detail/CVE-2021-33909	CVSS (v3) 7.8
Redhat https://access.redhat.com/security/cve/cve-2021-33909	CVSS (v3) 7.0
CVE https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-33909	Source: MITRE

2021年9月10日更新

Qualysのセキュリティ研究チームがこれまでに脆弱性を利用してroot権限の取得に成功したOSは、Ubuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11、Fedora 34 Workstation等です。ただし、その他のLinux OSであっても、今回の脆弱性を悪用した攻撃を受ける可能性があります。Linuxサーバの各バージョンに対応するセキュリティパッチを以下にまとめました。

OS セキュリティパッチのリンク

パッチがまだ公開されていない場合には、まずこちらの緩和措置を実施してください。

0に設定

技術の詳細はこちら：

運営体制	セキュアパッチリンク
Redhat	https://access.redhat.com/security/cve/cve-2021-33909
CentOS	https://centosfaq.org/centos/its-been-six-days-since-cvd-2021-33909-was-patched-in-rhel-whats-the-holdup-for-stream-8/ https://centos.pkgs.org/8-stream/centos-baseos-x86_64/kernel-4.18.0-326.el8.x86_64.rpm.html
SUSE	https://www.suse.com/security/cve/CVE-2021-33909.html
ubuntu	https://ubuntu.com/security/CVE-2021-33909

2021年 9月 10日更新

パッチがまだ提供されていない場合は、まず緩和策がある。

sysctl kernel.unprivileged_userns_clone=1 # unprivileged_userns_clone に設定する。 0

sysctl kernel.unprivileged_bpf_disabled=1 # unprivileged_bpf_disabled に設定する。 1

技術的な詳細については：https://www.qualys.com/2021/07/20/cve-2021-33909/sequoia-local-privilege-escalation-linux.txt

Max Tsai

PCI シニア・コンプライアンスQSAおよびコンサルタント - PCI QSA and Senior Consultant

• Payment Card Industry Security, IT Security Management, Cloud Service Management
• 專業認證： PCI DSS QSA, CISSP, ISMS LA

Secure Vectors Information Technologies Inc., 当社は、技術テスト、コンサルティング、コンプライアンスサービスなど、ペイメント業界のセキュリティ管理サービスを専門とする企業です。当社のサービスには、PCI DSS、PCI 3DS、PCI PIN Securityなどのペイメントカード業界のセキュリティ基準、個人データ保護やGDPRのコンプライアンスチェック、コンサルティングサービスなどが含まれます。米国、中国、シンガポール、ベトナム、台湾に拠点を持つアレジスは、あらゆるサービスを提供しています。コンプライアンス関連製品には、認証サービス（コンプライアンス監査）、コンプライアンス・セキュリティ・エスクロー、コンプライアンス管理プラットフォームなどがある。