Sequoia脆弱性（CVE-2021-33909）に関するPCI DSS専門家からの助言

Linuxカーネルのファイルシステム層にあるseq_fileに、境界外書き込みの欠陥が発見されました。この欠陥により、一般ユーザー権限を持つローカルの攻撃者が境界外メモリにアクセスでき、システムクラッシュやカーネル内部情報の漏えいを引き起こすおそれがあります。本件は、処理の実行前にsize_tからintへの変換を検証していないことに起因します。

PCI DSSの観点では、主な懸念はオペレーティングシステムのユーザーアカウントのセキュリティです。システムへのアクセス付与の必要性を検証し、ログ取得を伴ってログインに必要最低限の権限のみを許可すること、eBPF等の取り扱いを見直すことが重要です。パッチ管理、とりわけ重要なものについては30日以内に完了する必要があります。

PCI DSS要件2.1

システムをネットワークに導入する前に、ベンダー提供の初期値を必ず変更し、不要な既定アカウントを削除または無効化してください。/etc/passwdが適切に設定されていることを確認し、不要なユーザーは削除するか「nologin」を設定し、本脆弱性を悪用したログインによるシステム侵害を防いでください。

PCI DSS要件6.2

ベンダーが提供するセキュリティパッチを適用することにより、すべてのシステムコンポーネントとソフトウェアを既知の脆弱性から保護してください。重要なセキュリティパッチは公開から1カ月以内に適用してください。

オペレーティングシステムのベンダーが関連パッチを公開しているかを確認し、1カ月以内にパッチ適用を完了してください。ベンダーからの更新がない場合は、必要な緩和策を講じる必要があります。

パッチ一覧（Qualys Security Research Teamによる指摘）

• NESSUS — tenable.com/cve/CVE-2021-33909 · CVSS（v2）7.2
• NIST NVD — nvd.nist.gov/vuln/detail/CVE-2021-33909 · CVSS（v3）7.8
• Redhat — access.redhat.com/security/cve/cve-2021-33909 · CVSS（v3）7.0
• CVE — cve.mitre.org（出典：MITRE）

2021年9月10日の更新

Qualys Security Research Teamは、脆弱なOSであるUbuntu 20.04、Ubuntu 20.10、Ubuntu 21.04、Debian 11、Fedora 34 Workstationにおいてroot権限を取得し、本脆弱性を実証しました。他のLinux OSでも、本脆弱性に起因するI.O.C.が生じる可能性があります。Linuxサーバーのパッチ修正については、Redhat、CentOS、SUSE、Ubuntuのセキュリティアドバイザリをご参照ください（各ベンダーのページをご確認ください）。

ベンダーからの更新がない場合は、必要な緩和策を講じる必要があります。

• sysctl kernel.unprivileged_userns_clone=1 → unprivileged_userns_cloneを0に設定する
• sysctl kernel.unprivileged_bpf_disabled=1 → unprivileged_bpf_disabledを1に設定する

技術的な詳細は次をご参照ください：QualysのSequoiaアドバイザリ