Linuxカーネルのcgroups脆弱性（CVE-2022-0492）— 権限昇格・コンテナ脱出に悪用されうる

1cgroups というリソース制御機構

CVE-2022-0492は、Linuxカーネルのリソース制御機構である「cgroups（control groups）」のv1にある「release_agent」機能の権限チェック不備（CWE-287：不適切な認証／CWE-862：認可の欠如）に起因する脆弱性だ。

release_agentはcgroupが空になったときに指定プログラムを実行する仕組みで、この実行がホスト側の高い権限で行われる点が悪用される。

2「コンテナ脱出」への悪用可能性

影響はローカルでの権限昇格だが、実務上重要なのは「コンテナ脱出」への悪用可能性だ。コンテナがケイパビリティの制限やseccomp/AppArmor等の保護を十分に効かせていない構成だと、コンテナ内の攻撃者がこの脆弱性を使ってホスト上で任意コードを高権限で実行し、コンテナの隔離を破ってホストを掌握できる場合がある。

32022年の脆弱性が2026年にKEV入り

2022年に公表された脆弱性だが、CISAは2026年6月2日付でKEVに追加した。これは「古い既知の脆弱性であっても、パッチ未適用の環境が現在も悪用されている」ことを示すもので、放置された古いカーネルの危険性を物語る。

4隔離が破られるまでの筋道

この脆弱性の影響はローカルでの権限昇格ですが、実務上重要なのはコンテナ脱出への悪用可能性です。どこで隔離が破れるのかを段で追うと、対策を置く場所が見えてきます。

1. 1コンテナ内で足がかりを得る攻撃者がコンテナの中でコードを動かせる状態になる
2. 2release_agent を悪用するcgroupが空になったときに実行される仕組みを、権限チェックの不備を突いて設定する
3. 3ホスト側の権限で動く指定したプログラムがホスト上で高い権限で実行される
4. 4隔離が破られるコンテナの外へ出て、ホストを掌握しうる

コンテナがケイパビリティの制限やseccomp／AppArmor等の保護を十分に効かせていない構成だと、この筋道が通ります。逆に言えば、修正済みカーネルへの更新に加えて、不要なケイパビリティ（特にCAP_SYS_ADMIN）を付与しない、seccomp／AppArmor／SELinuxを有効化するといった多層防御が、途中の段で止める手立てになります。