米国当局、十年以上前のLinux脆弱性がランサムウェアで悪用されていると警告

米国政府は、Linuxカーネルに存在する脆弱性CVE-2024-1086が実際のランサムウェア攻撃で悪用されているとして警告を発表した。問題の脆弱性は「netfilter: nf_tables」コンポーネントにおけるuse-after-freeの弱点で、ローカルでの権限昇格を許す可能性があるとされる。

この脆弱性は2014年2月のコミットで導入され、2024年1月下旬に公表、同月中に修正された経緯がある。セキュリティ評価では深刻度が7.8/10（High）とされており、攻撃者が標的システム上で特権を獲得する足がかりとして利用できる。

影響範囲は主要なLinuxディストリビューションに及び、UbuntuやRed Hatなど広く使われている環境が含まれると報告されている。これを受けて米国のサイバーセキュリティ機関CISAは、連邦機関および企業システムに対して、当該パッチの適用または緩和策の実施を強く促している。

発表では、脆弱性は既に悪用されている実例が確認されており、放置すると重大な被害につながる可能性があることが強調された。運用者はベンダー提供の修正パッチを優先的に適用し、すぐに適用できない場合はアクセス制御の強化やネットワーク分離などの緩和策を行うよう求められている。

今回の警告は、既に修正済みの古い脆弱性であっても、実装やパッチ適用の遅れにより依然として深刻なリスクとなり得ることを改めて示している。