「glibc」の脆弱性「Looney Tunables」、悪用に警戒を

GNUプロジェクトによる標準Cライブラリの実装「GNU Cライブラリ（glibc）」に判明した権限昇格の脆弱性「CVE-2023-4911」が悪用されているとして米当局は注意喚起を行った。他脆弱性と組み合わせた攻撃が確認されている。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、現地時間11月21日に「悪用が確認された脆弱性カタログ（KEV）」へ同脆弱性を追加。行政機関へ対策を促すとともに、広く注意を呼びかけた。

「CVE-2023-4911」は、「gclib」に判明したバッファオーバーフローの脆弱性。「SUID」が設定されたバイナリにおいて、同脆弱性を悪用することによりroot権限を取得することが可能となる。

9月にQualysが報告し、調整を経て現地時間10月3日にセキュリティアドバイザリがリリースされた。環境変数「GLIBC_TUNABLES」の処理に存在し、「glibc」にリンクされたアプリケーションより悪用されるおそれがあることから、別名「Looney Tunables」と名付けられている。

同脆弱性のCVE番号を採番したRed Hatでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアを「7.8」と評価、重要度を「高（High）」とレーティング。「glibc」を実装するLinuxディストリービューションなども影響を受けるため注意が必要となる。

（Security NEXT - 2023/11/22 ）ツイート