LinuxカーネルのUSBオーディオドライバ脆弱性 - 攻撃の標的に

Linuxカーネルに実装されているUSBオーディオドライバにおける既知の脆弱性「CVE-2024-53197」「CVE-2024-53150」が悪用されていることがわかった。

米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）が現地時間2025年4月9日、「悪用が確認された脆弱性カタログ（KEV）」へ脆弱性2件を追加したもの。行政機関へ指定期間内に対応するよう求めるとともに広く注意喚起を行った。

「CVE-2024-53197」は、物理的に接続された悪意あるUSBデバイスによって域外メモリへアクセスし、任意のコード実行、権限の昇格などが可能となる脆弱性。

一方「CVE-2024-53150」は、脆弱性を悪用することで域外よりメモリを読み取り、機密情報を窃取することが可能としている。いずれも2024年に修正パッチがリリースされていた。

CISAでは、共通脆弱性評価システム「CVSSv3.1」のベーススコアをともに「7.8」、重要度を「高（High）」と評価している。

両脆弱性に関しては、Android Open Source Projectが現地時間2025年4月7日に公開した月例のセキュリティアドバイザリで、限定的な標的型攻撃で悪用されたことを報告していた。

（Security NEXT - 2025/04/10 ）ツイート