今すぐパッチを適用してください：この深刻なLinuxの脆弱性はほぼすべてのディストリビューションに影響を与えます。

Qualysはglibc Cライブラリに「Looney Tunables」と呼ばれる厄介なセキュリティホールを発見しました。これは、ほぼすべてのLinuxディストリビューションが深刻なセキュリティ問題を抱えていることを意味します。

セキュリティホールの中では、CVE-2023-4911、別名「ルーニーチューナブルズ」は、ひどくはありません。これは、共通脆弱性スコアリングシステム（CVSS）のスコアが7.8で、重要とされており、致命的ではありません。

一方、このGNU Cライブラリ（glibc）の動的ローダーの脆弱性はバッファオーバーフローであり、常に大きな問題です。そして、これはほぼすべてのLinuxディストリビューションに存在するため、十分に悪いと言えます。

結局のところ、その発見者であるQualys脅威研究ユニットは、「この脆弱性（フルルート権限を付与するローカル権限昇格）を、Fedora 37および38、Ubuntu 22.04および23.04、Debian 12および13のデフォルトインストールで悪用することができました。」他のディストリビューションもほぼ確実に攻撃に脆弱です。一つの大きな例外は、高度に安全なAlpine Linuxです。

この脆弱性のおかげで、ほとんどのLinuxシステムをルートユーザーとして乗っ取るのは簡単です。研究者たちが指摘したように、この攻撃手法は「デフォルトでLinuxにインストールされているほぼすべてのSUID-rootプログラムに対して機能します。」

そうですね、これはLinuxユーザーにとって大文字のBで始まる悪いニュースです。

この脆弱性は、2021年4月にglibc 2.34がリリースされた際に導入されました。この欠陥は、glibcのld.soダイナミックローダーにおけるバッファオーバーフローの弱点であり、Linuxシステム上でプログラムを準備し実行するための重要なコンポーネントです。この脆弱性は、GLIBC_TUNABLES環境変数を処理する際に引き起こされ、システムの完全性とセキュリティに対する重要な脅威となります。

では、これは本当にどれほど悪いのでしょうか？サイード・アッバシ、Qualysの脅威研究ユニットのプロダクトマネージャーの言葉を引用すると、「glibcにリンクされたアプリケーションを微調整および最適化することを目的としたこの環境変数は、開発者やシステム管理者にとって不可欠なツールです。その誤用や悪用は、システムのパフォーマンス、信頼性、セキュリティに広く影響を与えます。… バッファオーバーフローがデータのみの攻撃に変換できる容易さは、特にLinuxディストリビューション全体でglibcが広く使用されていることを考えると、多くのシステムを危険にさらす可能性があります。」

そして、はい、少なくとも1つのエクスプロイトがこの脆弱性を利用するためにすでに利用可能であると言わざるを得ないことをお詫び申し上げます。

では、それについてあなたは何をすべきですか？パッチを適用してください。今すぐパッチを適用しましょう。

良いニュースは、Red Hat、Ubuntu、Debian、Gentooがそれぞれ独自の更新をリリースしたことです。さらに、upstream glibc コードも修正されました。

パッチを当てられない場合、Red HatにはほとんどのLinuxシステムで機能するスクリプトがあり、これにより環境内でGLIBC_TUNABLESを使って呼び出されたsetuidプログラムを終了させることによって問題を軽減できます。

それでは、外に出て、パッチを作成し、スクリプトを実行し、もし脆弱なIoTデバイスを持っているなら、修正が出るまでファイアウォールの背後に閉じ込めてください。最後に、ポーキー・ピッグが言うように、「それがすべてだ、みんな！」