IT掲示板
IT掲示板海外技術情報を日本語でキャッチアップ
HN🔥 350
💬 283

深刻な脆弱性「CopyFail」、Linuxディストリビューション開発者には未共有だったのか？

ori_b
約1か月前

ディスカッション (11件)

1
xeeeeeeeeeeenu
約1か月前

補足すると、リンク先の投稿者であるSam JamesはGentooの開発者だよ。とにかくこれは大惨事だ。ディストリビューション側が修正を出す前にエクスプロイトを世界中に公開するなんて、あまりに無責任すぎる。どれだけの共有ホスティングプロバイダーがこれでハッキングされたか分かったもんじゃない。あと、カーネルセキュリティチームとディストリビューションのメンテナー間で連携が取れていないように見えるのも懸念点だね。前者から後者へ通知するのが筋だろうけど、どうやら脆弱性を見つけた人間が責任を負う形になってるみたいだ。

3
semiquaver
約1か月前

Linuxカーネルの脆弱性について、報告者がlinux-distrosメーリングリストに持ち込むことを選ばない限り、各ディストリビューションに事前通知はないので注意。

なんでそれを報告者がディストリビューションと連携する義務があるみたいな前提にしてるんだ？Linuxプロジェクトに詳しいことを前提にしすぎじゃないかな。脆弱性の報告者が、Linuxカーネルを使うあらゆるダウンストリームのユーザーと直接やり取りする責任を負うべきじゃないだろう。どこで線引きするんだ？報告者はLinuxを使っている全デバイスメーカーとも直接話せってこと？個人的には、報告者がLinux側に責任を持って公開し、パッチが当たるまで待っただけで十分すぎるほど貢献したと思うけど。Linuxプロジェクト内には、セキュリティ脆弱性に対して権限と責任を持つ人間がいないのか？そういう人たちがダウンストリームのディストリビューションに通知するべきだと思うけどね。

4
uberduper
約1か月前

initcall_blacklistっていう手もあるよ。

6
seniorThrowaway
約1か月前

Ubuntuはパッチ済みだよ。適用前と適用後の両方でテスト済み。

7
GranPC
約1か月前

参考までに、AF_ALGがモジュールではなくカーネルに直接リンクされているカーネルを使っている人向けに、eBPFベースの回避策をプッシュしておいた。https://github.com/Dabbleam/CVE-2026-31431-mitigation
今まさに本番環境で動かしてるけど、今のところ変な副作用もなく攻撃を緩和できてる。

8
KingMachiavelli
約1か月前

nosuidと、おそらくnodevは、デフォルトのファイルシステムマウントオプションであるべきだと思う。/devは既に特殊なdevtmpfsだし、initrdの最小構成の/devなら必要に応じてdevやsuid付きでマウントすればいいだけだし。
SUIDバイナリをどこにでも「存在する」状態にしておくのは、とんでもないセキュリティ上の問題だよ。外部ストレージメディアをマウントしたとき、そのブロックデバイス上のSUIDバイナリが悪意あるものじゃないってどうやって検証するんだ？
それに、今回のエクスプロイトはどうやらSUIDバイナリを実行するユーザーがそのバイナリを読み込める場合にのみ機能するみたいだ。root以外のユーザーがSUIDバイナリを読み込める理由なんてないしね。
NixOSはそのあたりを正しくやってる。通常のパッケージインストールディレクトリである/nix/storeにはSUIDがないし、そこ以外にパッケージが漏れることもない。だから他の全てのマウントポイントでnosuidを安全に使える。唯一の例外は、実行専用のSUIDラッパーを安全に格納する単一目的の/run/wrappers.$hashディレクトリだけだ。

10
whatevaa
約1か月前

報告者を責めるのはもうやめようぜ。カーネル側にプロセスを修正するよう求めるべきだ。Linuxカーネルはもうおもちゃじゃない。様々な企業に雇われたフルタイムのエンジニアが関わってるんだ。彼らがディストリビューションへの通知を行うべきだったんだよ。ただの外部の人間じゃなくてね。