Linux Distros のパッチ未適用の脆弱性: CVE-2024-42472

critical Nessus プラグイン ID 229463

Language:

概要

Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。

説明

Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

- Flatpak は、Linux アプリケーションのサンドボックスおよびディストリビューションフレームワークです。バージョン 1.14.0 および 1.15.10 より前の、悪意のある、または危険にさらされている Flatpak アプリは、永続ディレクトリを使用して、アクセスできる領域外のファイルにアクセスして書き込むことができました。これは、整合性と機密性に対する攻撃です。
アプリケーションのアクセス許可に「persistent=subdir」が使用されている場合 (コマンドラインインターフェースでは「--persist=subdir」と表示されます)、実際のユーザーのホームディレクトリにアクセスできないアプリケーションは、書き込み可能なサブディレクトリ「subdir」で空のホームディレクトリを認識します。背後では、このディレクトリは実際にはバインドマウントであり、データは「~/.var/app/$APPID/subdir」としてアプリケーションごとのディレクトリに保存されます。これにより、アプリケーションごとのディレクトリを認識しない既存のアプリが、一般的なホームディレクトリへのアクセスがなくても、意図したとおりに動作できます。ただし、アプリケーションには、ディレクトリが保存されているアプリケーションディレクトリ「~/.var/app/$APPID」への書き込みアクセス権があります。「persistent」/「--persist」オプションのソースディレクトリがシンボリックリンクに置き換えられた場合、アプリケーションを次回起動したときに、バインドマウントはシンボリックリンクに従い、それが指すものをサンドボックスにマウントします。コミット ceec2ffc および 98f79773 のパッチを使用して Flatpak にパッチを適用することで、この脆弱性に対する部分的な保護を提供できます。ただし、これにより競合状態が残り、並行して実行される悪意のあるアプリの 2 つのインスタンスによって悪用される可能性があります。競合状態を解消するには、Flatpak が新しい「--bind-fd」オプションを追加する際に使用する bubblewrap のバージョンを更新またはパッチ適用し、その後、Flatpak をパッチ適用して、それを使用できるようにする必要があります。Flatpak がビルド時に「-Dsystem_bubblewrap=bwrap」(1.15.x) または「--with-system-bubblewrap=bwrap」(1.14.x 以前)、または同様のオプションで設定されている場合、パッチを適用する必要がある bubblewrap のバージョンは別に配布されるシステムコピーで、通常は「/usr/bin/bwrap」です。この設定は、Linux ディストリビューションで通常使用される設定です。Flatpak がビルド時に「-Dsystem_bubblewrap=」(1.15.x) または「--without-system-bubblewrap」(1.14.x 以前) が設定されている場合、Flatpak に含まれているバンドルされたバージョンの bubblewrap にパッチを適用する必要があります。これは通常、「/usr/libexec/flatpak-bwrap」としてインストールされます。
この設定は、ソースコードからビルドする場合のデフォルトです。1.14.x 安定版 (stable) ブランチでは、これらの変更は Flatpak 1.14.10 に含まれています。このリリースに含まれる bubblewrap のバンドルされたバージョンが 0.6.3 に更新されました。1.15.x 開発ブランチでは、これらの変更は Flatpak 1.15.10 に含まれています。
このリリースに含まれる bubblewrap のバンドルされたバージョンは Meson ラップサブプロジェクトです。これは、0.10.0 に更新されました。この脆弱性に対して、1.12.x および 1.10.x のブランチは更新されません。長期サポートの OS ディストリビューションでは、個別の変更を Flatpak と bubblewrap のバージョンにバックポートするか、安定性ポリシーで許可されている場合は新しいバージョンに更新する必要があります。回避策として、「persistent」(「--persist」) アクセス許可を使用するアプリケーションの使用を避けてください。(CVE-2024-42472)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

ソリューション

現時点で既知の解決策はありません。

参考資料

https://ubuntu.com/security/CVE-2024-42472

プラグインの詳細

深刻度: Critical

ID: 229463

ファイル名: unpatched_CVE_2024_42472.nasl

バージョン: 1.3

タイプ: Local

エージェント: unix

ファミリー: Misc.

公開日: 2025/3/5

更新日: 2026/6/9

サポートされているセンサー: Frictionless Assessment AWS, Frictionless Assessment Azure, Frictionless Assessment Agent, Nessus Agent, Agentless Assessment, Nessus