Linux Distros のパッチ未適用の脆弱性: CVE-2022-49899
medium Nessus プラグイン ID 244671
Language:
概要
Linux/Unix ホストには、ベンダーにより修正されていないことを示す脆弱性を持つ複数のパッケージがインストールされています。説明
Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。- fscrypt:fscrypt_master_key に対するキーリングサブシステムの使用を中止します 構造体キーキーリングに含まれる構造体キーオブジェクトのペイロードとして、fscrypt_master_key構造体を内部的に管理する fs/crypto/ のアプローチは、その有用性を失いました。当初のアイデアは、キーリングサブシステムのコードを再利用することでコードを簡素化することでした。ただし、簡単には解決できないいくつかの問題が発生しています:- マスターキー構造体が破棄された場合、そこに埋め込まれたモードごとの鍵に対してblk_crypto_evict_key()を呼び出す必要があります。(これは、インライン暗号化サポートが追加されたときからそうなり始めました。)ただし、キーリングサブシステムは、ファイルシステムがアンマウントされた時間を過ぎても、キーの破棄を任意に遅らせることができます。このため、現在のところマスターキーが破壊されたときに blk_crypto_evict_key() を簡単に呼び出す方法はありません。現在、これは、ファイルシステムのrequest_queueへの余分な参照を保持することで回避できます。しかし、request_queue参照が対応するblk_crypto_profileもピン留めされることは「保証されていない」ことが見落とされていました。インライン暗号をサポートする device-mapper デバイスでは、サポートされません。これにより、use-after-free が発生する可能性があります。- 不完全に削除されたマスター・キーを使用していた最後の inode が退去された場合、キーリングからキー構造を削除することでマスター・キーの削除が完了します。現在これは key_invalidate() を介して行われます。しかし、key_invalidate() がキーセマフォを取ります。これは、シュリンカーから呼び出されたときにデッドロックを引き起こす可能性があります。これは、fscrypt_ioctl_add_key() では、同じセマフォの下で GFP_KERNEL でメモリが割り当てられているためです。
- より一般的には、キーリングサブシステムが(ガベージコレクションの遅延、または一時的なキー参照を取得するランダムプロセスを介して)キーの破壊を任意に遅らせることができるという事実は望ましくありません。これは、すべての機密情報が消去されることを厳密に保証できないことを意味するためです。- キーリングサブシステムを介してマスターキーの検索を行うと、key_permission LSM フックが呼び出されます。暗号化されたファイルのすべてのアクセス制御は、他のファイルと同様にファイル自体を介して行われるように設計されているため、fscryptはこれを望んでいません。
SELinux ユーザーが使用している回避策は、SELinux ポリシーを変更して、すべてのドメインにキー検索アクセスを付与することです。これは機能しますが、実際には行う必要のない奇妙な追加ステップです。これらすべての問題の修正は、最初に行うべきだった実装を変更することです:ファイルシステムのfscrypt_master_key構造を追跡するためにキーリングサブシステムを使用しないでください。その代わりに、それらを通常のカーネルデータ構造に保存し、それにしたがって参照カウント、ロック、ライフタイムを作り替えます。
ハッシュテーブルを使用することで、RCU モードのキー検索のサポートを維持します。fscrypt_sb_free() を fscrypt_sb_delete() で置き換えます。これにより、キーが同期的にリリースされ、アンマウント中に少し早く実行されるため、ブロックデバイスがまだ使用可能になります。このパッチの副作用は、マスターキー自体もファイルシステムキーリングも /proc/keys にリストされなくなることです。(マスターキーユーザーおよびマスターキーユーザーのキーリングは引き続き表示されます。)ただし、これはほとんど実装の詳細であり、デバッグのみを目的としていました。使っている人を知りません。このパッチは、マスターキーユーザー(->mk_users)の動作方法を「変更しません」。依然としてキーリングサブシステムを使用します。これは主要なクォータにはまだ必要であり、上記の問題を解決するためにそれを変更する必要はありません。もし私たちがそれを変更することに決めた場合、それは別のパッチになります。私はこれを、fscrypt キーリングを追加した元のコミットを修正するものとしてマークしましたが、上記のように、このパッチが修正する最も重要な問題は、インライン暗号化サポートを追加するまで導入されませんでした。(CVE-2022-49899)
Nessus は、ベンダーから報告されたパッケージの存在に依存していることに注意してください。
ソリューション
現時点で既知の解決策はありません。参考資料
プラグインの詳細
深刻度: Medium
ID: 244671
ファイル名: unpatched_CVE_2022_49899.nasl
バージョン: 1.14
タイプ: Local
エージェント: unix
ファミリー: Misc.
公開日: 2025/8/7
更新日: 2026/9/30
サポートされているセンサー: Agentless Assessment, Frictionless Assessment Agent, Frictionless Assessment AWS, Frictionless Assessment Azure, Nessus Agent, Tenable Cloud Security, Tenable Self-Hosted Container Security, Nessus
リスク情報
VPR
リスクファクター: Low
スコア: 3
パーセンタイル: 23.18
CVSS v3
リスクファクター: Medium
基本値: 5.5
現状値: 5.1
ベクトル: CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
現状ベクトル: CVSS:3.0/E:U/RL:U/RC:C
CVSS スコアのソース: CVE-2022-49899
脆弱性情報
CPE: cpe:/o:canonical:ubuntu_linux:16.04:-:lts, cpe:/o:canonical:ubuntu_linux:18.04:-:lts, cpe:/o:canonical:ubuntu_linux:20.04:-:lts, cpe:/o:canonical:ubuntu_linux:22.04:-:lts, cpe:/o:canonical:ubuntu_linux:24.04:-:lts, p-cpe:/a:canonical:ubuntu_linux:linux-allwinner-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.0, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-aws-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-aws-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-aws-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-aws, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-azure-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-azure-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-azure-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-azure-edge, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-azure-fde, p-cpe:/a:canonical:ubuntu_linux:linux-azure, p-cpe:/a:canonical:ubuntu_linux:linux-bluefield, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-gcp-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-gcp, p-cpe:/a:canonical:ubuntu_linux:linux-gke-4.15, p-cpe:/a:canonical:ubuntu_linux:linux-gke-5.15, p-cpe:/a:canonical:ubuntu_linux:linux-gke-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gke, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop-5.15, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-gkeop, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-hwe-edge, p-cpe:/a:canonical:ubuntu_linux:linux-hwe, p-cpe:/a:canonical:ubuntu_linux:linux-ibm-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-ibm, p-cpe:/a:canonical:ubuntu_linux:linux-intel-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-intel-iot-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-iot, p-cpe:/a:canonical:ubuntu_linux:linux-kvm, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-lowlatency-hwe-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-nvidia-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-nvidia-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.10, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.14, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.17, p-cpe:/a:canonical:ubuntu_linux:linux-oem-5.6, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.0, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.1, p-cpe:/a:canonical:ubuntu_linux:linux-oem-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oem, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.0, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.13, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.3, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-oracle-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-oracle, p-cpe:/a:canonical:ubuntu_linux:linux-raspi-5.4, p-cpe:/a:canonical:ubuntu_linux:linux-raspi-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-raspi2, p-cpe:/a:canonical:ubuntu_linux:linux-raspi, p-cpe:/a:canonical:ubuntu_linux:linux-realtime, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.11, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-5.8, p-cpe:/a:canonical:ubuntu_linux:linux-riscv-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-riscv, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-5.19, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-6.2, p-cpe:/a:canonical:ubuntu_linux:linux-starfive-6.5, p-cpe:/a:canonical:ubuntu_linux:linux-xilinx-zynqmp, p-cpe:/a:canonical:ubuntu_linux:linux
必要な KB アイテム: Host/cpu, Host/local_checks_enabled, global_settings/vendor_unpatched, Host/OS/identifier
エクスプロイトの容易さ: No known exploits are available
脆弱性公開日: 2022/12/8
参照情報
CVE: CVE-2022-49899