概要
Linuxカーネルにおいて重大な脆弱性が確認されたことが報告されています。
Linuxを利用している場合は、至急、影響の有無を確認し、必要な対策を実施してください。
■脆弱性の概要
- LinuxカーネルのIPv4 TCP接続処理における競合状態が原因で、Use-After-Freeが発生する脆弱性です。
- CVE®番号は「CVE-2026-98432」。LinuxカーネルCVEチームが2026年10月15日に公表しました。
- Canonicalが示すCVSS v3.1は9.8（Critical）、CVSS v4.0は8.3（High）です。Ubuntuの優先度はHighです。
- ネットワーク越しに到達し得る問題で、認証や利用者の操作を必要としない悪用の可能性があります。
- Anthropicは10月27日、Multipath TCP（MPTCP）の待ち受け機能を備えたサーバーを対象に、遠隔からroot権限でコマンドを実行できることを研究環境で実証したと発表しました。
- Linuxカーネルの上流では修正済みですが、Ubuntu 24.04 LTS、22.04 LTSなどの標準カーネルは、Canonicalの10月30日更新情報では「Vulnerable / work in progress」です。
- 各管理者はインターネット公開サーバー、MPTCPの使用状況、実際に稼働しているカーネルと配布元の修正状況を照合する必要があります。
本脆弱性はLinuxカーネルの上流では修正されていますが、各Linuxディストリビューションにおける修正版カーネルの提供状況は異なります。
各管理者は、管理するLinuxに対する修正版カーネルの提供状況および適用状況を必ず確認してください。なお、保守を委託している場合は、保守委託先への確認をお願いします。
また、各Linuxディストリビューションが案内する緩和策がある場合は、その内容と適用条件を確認し、管理するLinuxが条件を満たす場合は緩和策を速やかに適用してください。
現時点で修正版カーネル等がでていない製品を利用中の場合、各Linuxディストリビューションが公開する今後の情報を引き続き注視してください。
本件に関連すると思われる不審な状況などがございましたら、東京都立大学CSIRT窓口まで速やかにご連絡ください。
