採用情報

お問い合わせ

BLOG

脆弱性管理 BLOG

2022 年 02 月 17 日

RESERVED の脆弱性は検出できる?

~ MIRACLE Vul Hammer における Polkit 脆弱性 (PwnKit) の検出例 ~

2022 年に話題となっている脆弱性が Polkit の脆弱性 (CVE-2021-4034)※1 です。
Polkit は、Linux ディストリビューションにデフォルトでインストールされている、設定ファイルポリシーにもとづいてユーザセッションと権限をコントロールできるツールです。CVE-2021-4034 では、メモリ破損につながる脆弱性が発見されました。この脆弱性を悪用すると、一般ユーザーであっても root 権限を得ることが可能になってしまいます。
1 月 28 日時点では CVE は RESERVED となっており、CVE 情報は公開されていませんでした。
その後、NVD※2 で CWE などの詳細が公開されたのは、1 月 31 日でした。

RESERVED の脆弱性とは

CVE の Description に RESERVED と表記される脆弱性は、CVE 番号が「予約された」状態の脆弱性です。RESERVED の脆弱性は、Description が、以下のような表記になっています。
一般的には CVE の Description は脆弱性の修正や回避策が示された後に更新されます。

RESERVEDの脆弱性

RESERVED の脆弱性の情報はどこで得られるのか?

このように CVE は RESERVED となっているため、Mitre のサイトでは脆弱性の詳細な情報を確認することができません。以下に主な情報の参照先を解説します。

OS ベンダーからの提供

脆弱性情報は、OS ベンダーによって情報提供されることがあります。
特に Polkit の場合は、Linux ディストリビューションにデフォルトでインストールされており、各ベンダーもこの脆弱性に関する情報を公開しました。

Red Hat: https://access.redhat.com/security/cve/CVE-2021-4034
Canonical: https://ubuntu.com/security/CVE-2021-4034

該当ソフトウェアのコミュニティの情報

脆弱性が見つかったソフトウェアの以下のようなコミュニティの情報から、脆弱性に関する情報を取得することもできます。

  1. メーリングリスト
  2. ソースコード管理ツールの issue や commit
    ・Polkit の例 ※3

MIRACLE Vul Hammer での検出例

1 月 28 日時点で、CVE は RESERVED のままでしたが、MIRACLE Vul Hammer では Polkit (CVE-2021-4034) の脆弱性が検出されました。
MIRACLE Vul Hammer では、ベンダーが提供する OVAL※4 を利用して脆弱性の検出を行っているため、ベンダーが情報提供を始めた時点で各ベンダーの情報を確認することが可能です。

CVE は RESERVED のため、NVD でも深刻度は公開されていませんでした。このため、深刻度は UNKNOWN となりました。脆弱性情報詳細の画面から、各ベンダーが公開している情報を確認できます。

脆弱性情報詳細の画面

Red Hat 社が公開している脆弱性情報の例です。

Red Hat社が公開している脆弱性情報の例

このように、MIRACLE Vul Hammer では、ベンダーが提供した情報を毎日収集しているため、正確な脆弱性をいち早く検出することが可能です。

MIRACLE Vul Hammer 評価版

MIRACLE Vul Hammer の評価版をトライアルでご利用いただけます。導入検証や技術評価に是非ご活用ください。


※1
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2021-4034
※2
https://nvd.nist.gov/vuln/detail/CVE-2021-4034
※3
https://gitlab.freedesktop.org/polkit/polkit/-/issues/166
※4
https://www.ipa.go.jp/security/vuln/OVAL.html

本記事に関連するリンク

MIRACLE Vul Hammer 脆弱性管理ツール「MIRACLE Vul Hammer(ミラクル・バル・ハンマー)」
SBOMを使った脆弱性管理を実現!MIRACLE Vul Hammer
CentOS 7 延長サポートサービス
デジタルトランスフォーメーションのための電子認証基盤 iTrust
SSL/TLS サーバー証明書 SureServer Prime