直す相手が一つに定まらない ― Linuxカーネルの整数オーバーフロー

1「誰が直すのか」が書かれていない

前の記事は、直す先が存在しない記録でした。この記録には直す方法がありますが、直す相手が一つに定まりません。

記録の注記は、この脆弱性が複数の製品で使われている共通の部品に影響するものであり、修正が適用されているかは製品ごとにベンダーへ確認するよう述べています。参照先もカーネル本体のリポジトリで、特定製品の更新案内ではありません。

2修正が届くまでの経路

1. 1カーネル本体で修正される上流のソースコードに修正が入る
2. 2配布元が取り込む各ディストリビューションが自分の版へ反映する
3. 3製品ベンダーが取り込むそのディストリビューションを土台にした機器やソフトが更新版を出す
4. 4利用者に届く手元の機器やサーバに更新が適用される

利用する側から見ると、上流が直っていても自分の環境にはまだ届いていない、という状態が普通に起こります。 カタログの是正期限は21日ですが、この経路を通る時間は各段階の事情に左右されます。

3権限昇格という位置づけ

本件は、非特権の利用者が特権付きのバイナリを足がかりに権限を上げる型です。外から侵入する脆弱性ではなく、入られた後に被害を広げる脆弱性にあたります。カーネルの28件は、境界外書き込み（CWE-787）4件、解放後使用（CWE-416）3件などに散っており、採番年も2010年から2026年に広がっています。

次の記事では、猶予が3日しかない記録を見ます。