CVE-2025-0690: GRUB2 整数オーバーフロー脆弱性

🛡️ 概要

CVE-2025-0690 は、ブートローダ GRUB2 における重大な整数オーバーフロー脆弱性であり、任意のコード実行とSecure Boot の回避を許します。この欠陥は GRUB2 に依存してセキュアブートを行うシステムに影響し、オペレーティングシステム起動前のシステムを危険にさらします。

🔍 技術的詳細

根本原因

脆弱なコマンド: read（キーボード入力の受信に使用）
問題: 入力長が 32ビット整数に格納される
悪用メカニズム:
- 極めて長いテキスト行を入力する
- 長さ変数でオーバーフローを引き起こす
- これによりヒープベースのバッファへの範囲外書き込み (out-of-bounds write) が発生する

影響

GRUB2 内部の重要なデータの破損
Secure Boot の回避、悪意のあるカーネルのロードを許す
OS 起動前のシステム侵害

📊 セキュリティメトリクス (CVSS v3.1)

メトリクス	値	説明
基本スコア	6.1 (Moderate)	CISA-ADP および Red Hat による。
攻撃元	物理 (AV:P)	物理的またはローカルアクセスが必要。
攻撃の複雑さ	低 (AC:L)	制御された入力で容易に悪用可能。
必要な権限	高 (PR:H)	システムへの事前アクセスが必要。
ユーザー操作	要 (UI:R)	攻撃者はシステムとの対話が必要。

🛠️ 解決策と緩和策

利用可能なアップデート

複数のベンダーがこの脆弱性を修正するパッチをリリースしています：

ディストリビューション/ベンダー	修正バージョン	参照
Red Hat	`grub2-2.06-104.el9_6+`	RHSA-2025:6990
Debian	`grub2-2.12-6` (不安定版)	Security Bug Tracker
Oracle Linux	Errata `ELSA-2025-6990`	-
Dell	PowerProtect や VxRail などの製品向けアップデート	-

推奨事項

GRUB2 と依存関係を更新する:

ディストリビューションのパッケージマネージャを使用:

sudo dnf update grub2 grub2-common grub2-efi  # RHEL/Fedora
sudo apt upgrade grub2 grub2-common grub2-efi # Debian/Ubuntu

インストール済みバージョンを確認する:
```
grub-install --version
```
更新後にシステムを再起動する。

📌 補足情報

CWE-787: 脆弱性の分類は範囲外書き込み。
公表日: 2025年2月24日。
最終更新日: 2026年4月15日。

🔗 公式リファレンス

Kaleth Pwned!!

CVE-2025-0690

人気