Local kernel privilege escalation in the HDLC TTY line discipline implementation - CVE-2017-2636

対処方法

影響を受けるバージョンのカーネルをご使用のお客様は、パッチのリリース直後にカーネルを更新することが強く推奨されます。影響を受けるパッケージや推奨される軽減策の詳細は以下を参照してください。カーネルの更新を適用するには、システムを再起動する必要があります。

影響を受ける製品の更新

*このパッチを取得するには、有効な EUS サブスクリプションが必要です。

お持ちのアカウントに有効な EUS サブスクリプションがない場合は、Red Hat 営業部門または営業の担当者にお問い合わせください。

Red Hat Enterprise Linux Extended Update Support サブスクリプションとは何ですか?

**RHEL AUS のパッチを入手するには、有効な AUS サブスクリプションが必要です。

軽減策

n_hdlc カーネルモジュールは、アプリケーションが HDLC の回線制御規則 (line discipline) をユーザー領域から使おうとすると、自動的にロードされます。このモジュールがロードされないようにするには、システム全体の modprobe ルールを使用します。以下のコマンドを root として実行すると、モジュールは意図的または非意図的にロードされなくなります。Red Hat セキュリティーレスポンスチームは、この方法を、特権ユーザーによる場合でも意図せずにモジュールがロードされないようにするための強固な方法であると判断しています。

 # echo "install n_hdlc /bin/true">> /etc/modprobe.d/disable-n_hdlc.conf

n_hdlc モジュールがすでにロードされている場合は、システムを再起動する必要があります。ほとんどの場合で、n_hdlc カーネルモジュールが使用中であり、現在のプロセスのいずれかでこの回線制御規則の使用が必要な場合は n_hdlc カーネルモジュールをアンロードできなくなります。

この脆弱性は、ハードウェア Microgate または SyncLink が使用中でなくても悪用される可能性があります。

ヘルプが必要な場合は、この KCS アーティクルを参照するか、または Red Hat グローバルサポートサービスにお問い合わせください。

Ansible Playbook

Ansible  playbook を使用すると、脆弱性が軽減されます。「偽装インストール」が実行され、 ブラックリストファイルが /etc/modprobe.d/disable-n_hdlc.conf に作成されることで、脆弱性のあるモジュールがロードされなくなります。実行中のカーネルに HDLC モジュールがすでにロードされている場合は、システムを再起動します。ブラックリストファイルが所定の場所にあれば、このモジュールはロードされなくなります。修正済みパッケージが利用可能な場合でこれをインストールした後に、必要に応じて /etc/modprobe.d/disable-n_hdlc.conf のファイルを削除できます。

この Playbook は、HOSTS という名前の変数に対して実行されます。次のように起動できます (「hostname」がインベントリーファイルに定義されていることが前提です)。 

# ansible-playbook -e HOSTS=hostname mitigate_fixit.yml

 この Playbook には root 権限が必要であり「become: true」を指定するので、適切な権限が設定されているアカウントを使用する必要があります。