CVE-2025-40271

🔴 CVE-2025-40271: Linux カーネルの Use-After-Free の深刻な脆弱性

---

🛡️ 脆弱性の詳細

CVE-2025-40271 は、Linux カーネルの /proc ファイルシステムに影響を与える 深刻な Use-After-Free (UAF) 型の脆弱性 です。この欠陥は、/proc 内のディレクトリの内容をリストする役割を担う関数 proc_readdir_de() に存在します。

🔍 問題点

ディレクトリエントリ (PDE) が rb_erase() によって二分木 (rbtree) から削除される際、カーネルは ノードを空としてマークしませんでした。これにより危険なシナリオが発生します:

• あるプロセスがディレクトリを読み取っている (例: /proc/pid/net/dev_snmp6/) 間に、別のプロセスが ネットワークインターフェースを削除する (例: tun デバイス) と、ポインタが 既に解放されたメモリ を指し続ける可能性があります。
• ツリー内の次のノードにアクセスしようとすると、カーネルは 無効なメモリを使用 し、以下を引き起こします:
  • カーネルパニック (システムクラッシュ)
  • 攻撃者が競合状態を悪用した場合、悪意のあるコードの実行 の可能性。

---

📊 状態とメトリクス

---

🛠️ 解決策 (パッチ)

カーネル開発チームは、ノードの処理を RB_CLEAR_NODE() に置き換える 重要なパッチ を実装しました。これにより以下が保証されます:

• ツリーからノードを削除すると、読み取りの試みは解放されたメモリへのポインタではなく NULL を返す。
• ノードを適切に無効化することで UAF を防止する。

📌 パッチ適用済みカーネルバージョン

パッチは以下の安定ブランチですでに利用可能です:

• 6.1.x
• 6.6.x
• 6.12.x
• 6.13.x

---

🔗 公式リファレンス (Git Kernel.org)

パッチの正確なコードを確認するには、以下の コミット を参照してください:

• Commit 03de7ff
• Commit 6f24827

---

📜 技術的説明 (NIST)

"In the Linux kernel, the following vulnerability has been resolved: fs/proc: fix uaf in proc_readdir_de(). PDE is erased from subdir rbtree through rb_erase(), but not set the node to EMPTY, which may result in UAF access. We should use RB_CLEAR_NODE() to set the erased node to EMPTY, then pde_subdir_next() will return NULL to avoid UAF access."

🔄 問題の再現手順

1. プロセス 1: getdent を使用して /proc/pid/net/dev_snmp6/ を走査する (現在のポインタは tun3)。
2. プロセス 2: 重要な時間枠 内に、ネットワークデバイス (tun3 と tun2) の登録を解除し、ツリーから削除する。
   • 最初に tun3 が削除され、次に tun2 が削除される (スラブに解放される)。
3. プロセス 1: getdent で走査を続行するが、pde_subdir_next() は tun2 (既に解放済み) を返すため、UAF が発生する。

---

📊 メトリクスと弱点の列挙

---

🔗 有用なリンク

---

⚠️ 最終推奨事項: カーネルバージョン 6.1.x、6.6.x、6.12.x、6.13.x を使用している場合は、直ちにパッチ適用済みバージョンにアップデート してください。不可能な場合は、コミットを手動で適用するか、セキュリティポリシー (例: chroot、SELinux) を使用して /proc へのアクセスを制限することを検討してください。