CVE-2025-68788

概要

Linux カーネルにおいて、以下の脆弱性が修正されました: fsnotify: 特殊ファイルに対する子への ACCESS/MODIFY イベントを生成しない。inotify/fanotify は、ファイルへの読み取りアクセス権を持たないユーザーがイベント（例: IN_ACCESS/IN_MODIFY）を購読することを許可していませんが、親ディレクトリ（例: /dev）へのアクセス権を持つユーザーが子のイベントを監視するために購読することは許可しています。ファイルへの読み取りアクセス権を持たないが、その親ディレクトリへの読み取りアクセス権を持つユーザーは、依然としてそのファイルを stat し、atime/mtime の変化を通じてアクセス/変更されたかどうかを確認できます。特殊ファイル（例: /dev/null）については同じことが当てはまりません。ユーザーは一般に、他のユーザーが特殊ファイルを読み書きしたときに atime/mtime の変化を観察することはなく、誰かが utimensat() を介して atime/mtime を設定した場合にのみ観察します。fsnotify イベントをこの stat の動作に合わせ、特殊ファイルの読み取り/書き込み時に親の watcher に対して ACCESS/MODIFY イベントを生成しないようにします。イベントは utimensat() 時に親の watcher に対して依然として生成されます。これにより、情報の持ち出しに悪用される可能性のあるいくつかのサイドチャネルが塞がれます [1]。[1] https://snee.la/pdf/pubs/file-notification-attacks.pdf

ソース

• file-notification-attacks研究

  Linux、Windows、macOSにおけるファイル通知サイドチャネル攻撃の研究資料。inotify/FSEventsの情報漏洩、キーストロークタイミング、ウェブサイトフィンガープリンティングを実証。