脆弱性Sequoia（CVE-2021-33909）をPCI DSSのプロが解説

今回明らかになったLinuxの脆弱性は、すべてのLinuxカーネルのOSに関わります。この脆弱性は、Linuxファイルシステムのsize_tからintへの変換を利用して、権限を昇格させられるというものです。root権限を持たない悪意あるユーザーは、1GBを超える長いディレクトリパスを利用してLinuxのファイルシステム内にマウントし、バッファオーバーフローを引き起こして、悪意ある権限昇格を実行します。

PCI DSSの視点から見て、最も懸念される点はOSアカウントのセキュリティです。ホストへのログインが必要かどうかという点から見て、必要のないユーザーのログインを制限して、ディレクトリのマウントやeBPFの使用ができないようにするほか、適切なセキュリティパッチをインストールすべきでしょう。重大なリスクがある場合は、30日以内に新しいパッチを適用してください。

• OSアカウントのセキュリティ（PCI DSS Req. 2.1）：サーバ上の不要なデフォルトアカウントが削除されているか、無効となっていることを確認してください。不要なユーザーがログインし、脆弱性を悪用して攻撃することのないよう、すべての機器のデフォルトアカウントが削除されているか、無効になっていることを確認してください。/etc/passwordファイル内のアカウント設定がすでに削除されているか「nologin」に設定されていることを確認するとよいでしょう。
• 重大なリスクがある場合は30日以内にパッチを適用する（PCI DSS Req. 6.2）：ベンダが提供するセキュリティパッチを適用し、すべてのシステムコンポーネントおよびソフトウェアを既知の脆弱性の影響から守ってください。重要なセキュリティパッチは、ベンダが公開してから1か月以内に適用してください。

OSベンダが関連するパッチを公開しているかどうか確認し、なるべく1か月以内にOSのパッチを適用してください。OSベンダがパッチを公開していない場合は、緩和措置を取ってください。

今回Qualysのセキュリティ研究チームが発表した脆弱性（CVE-2021-33909）に対応するため、現在、各システムベンダが相次いで更新パッチを公開しています。これまでに収集されたリスク判定パッチは下表のとおりです。