Linux Kernel の Use-After-Free 脆弱性 CVE-2024-50264：新たな悪用手法と PoC の登場

New Exploitation Method Discovered for Linux Kernel Use-After-Free Vulnerability

2025/09/09 gbhackers — Linux Kernel の Use-After-Free (UAF) 脆弱性を悪用する、新たな手法が発見された。この脆弱性 CVE-2024-50264 は、主要な Linux ディストリビューションに影響を及ぼし、その複雑さから Pwnie Award 2025 の Best Privilege Escalation を受賞したものである。研究者たちが開発した PoC は、kernel slab allocator と競合状態保護を回避する手法であり、これまでと比べて悪用が容易になることを示している。

Use-After-Free の脆弱性

脆弱性 CVE-2024-50264 は、Linux Kernel バージョン 4.8 以降の AF_VSOCK サブシステムの競合状態に起因する。このバグにより、権限を持たない攻撃者であっても、ソケット接続操作中に virtio_vsock_sock オブジェクトで Use-After-Free を引き起こすことが可能となる。

この脆弱性は user namespace 権限を必要とせず発生するため、危険性は極めて高い。その一方で、ランダム化 SLAB キャッシュ／SLAB バケットなどの Kernel 強化機構により、単純なヒープ・スプレー攻撃やクロス・キャッシュ攻撃は阻止されるため、これまではエクスプロイトは困難とされてきた。

新たなエクスプロイト手法

しかし、Linux Kernel エクスプロイト用のオープンソース・テスト環境 kernel-hack-drill を用いることで、新たな悪用の手法が実証された。

• 脆弱な connect() システムコールを immortal の POSIX シグナルで中断し、プロセスを終了させずに競合状態を確実にトリガーする。
• SLAB キャッシュの動作を利用してクロス・キャッシュ割り当てを行い、解放済みオブジェクト領域に攻撃者が制御する構造体を配置する。
• msg_msg／pipe_buffer といった Kernel オブジェクトを改竄し、任意のアドレスの読み書きや情報漏洩を実現する。特に、メッセージ・キュー・システムを悪用して Kernel メモリ境界外を読み取り、認証情報を含む機密ポインタを抽出する。

この手法により、強化された Kernel においても、独創的な戦略による脆弱性への攻撃が可能になる。攻撃者は競合状態のスピードランを利用し、オブジェクトのペアリングを回避して脆弱な状態を迅速に強制できる。

Dirty Pipe／Dirty Pagetable のような一般的な権限昇格の戦術も、この新手法により、制約の厳しい環境でも可能になる。特に pipe_buffer のページ・ポインタ破損を利用することで攻撃パスを合理化し、最新システムに対する成功率を高めている。

セキュリティ・チームにとって必要なことは、脆弱性 CVE-2024-50264 を重大な脅威と認識し、緊急のパッチ適用を実施し、Kernel オブジェクト強化策を見直すことだ。kernel-hack-drill プロジェクトは、研究者にとって重要な検証環境を提供しており、Linux 内部における継続的なセキュリティ・エンジニアリングの必要性を示している。

Linux Kernel に存在する Use-After-Free 脆弱性 CVE-2024-50264 に、新たな悪用の手法が発見されました。この問題は AF_VSOCK サブシステムにおける競合状態が原因で、ソケット操作中に解放済みのメモリが再利用されてしまう点にあります。通常は Kernel の強化機構により悪用が難しいとされていましたが、新しい手法では SLAB キャッシュ操作やシグナル処理を組み合わせることで、攻撃者が任意のメモリ操作や情報漏洩を可能にすると、この記事は指摘しています。PoC も提供されていますので、ご利用のチームは、ご注意ください。よろしければ、Linux で検索も、ご参照ください。