複数のLinuxにボタンの70秒押し続けでrootシェル獲得の脆弱性

11月15日(米国時間)、Threatpostに掲載された記事「Cryptsetup Vulnerability Grants Root Shell Access on Some Linux Systems｜Threatpost｜The first stop for security news」がCryptsetupに脆弱性が存在しており、複数のLinuxシステムで起動時にrootシェルへのアクセスが可能になっていると伝えた。起動時に70秒ほどEtnerキーを押すことでレスキュー用のrootシェルにアクセスできてしまうため注意が必要。

CryptsetupはLinuxディストリビューションで使われている暗号化されたファイルシステムをセットアップするためのユーティリティプログラムで、DebianやUbuntuで使われることが多いと説明がある。研究者らはこのソフトウェアに脆弱性があると指摘。システム起動時にLUKSパスワードプロンプトが表示されたら、この段階でエンターキーを70秒ほど押し続ければrootシェルが表示されるとしている。

この脆弱性を悪用するにはコンソールにアクセスできる必要がある。そのため、公共の場で使われてるLinuxシステムがCryptsetupを利用しているような場合は注意が必要。物理アクセスが可能な場合はシステムを再起動してキーボードを押すだけでroot権限が取得できてしまうことから、第3者によって不当にシステムが書き換えられたり情報を窃取される危険性がある。