Linuxの脆弱性Fragnesiaに悪用確認、PHPの欠陥と連鎖

やること

Linux のカーネル（OS の中心部分）を配布元の修正版へ更新してください。

• Red Hat は対象のすべての製品に修正を出したと案内しています
• Ubuntu の修正版は上の表のとおりです
• すぐに更新できない場合、Red Hat は IPsec のモジュール（esp4・esp6）を止める方法を示しています。IPsec を使っていると通信に影響します

Palo Alto Networks のファイアウォールは PAN-OS の修正版へ更新し、管理画面はインターネットから触れないようにしてください。

何が危ないのか

Fragnesia は5月に公表された Linux カーネルの欠陥です。サーバーに一般ユーザーとして入った攻撃者が、読み取り専用のファイルの内容をメモリ上で書き換えて管理者権限（root）を取れます。CVSS は 7.8 で、必要なのは、そのサーバーに低い権限で入れることだけです。利用者の操作は要りません。

Ubuntu の説明では、通信のパケットをまとめる処理で「このページは書き換えてはいけない」という目印が失われ、IPsec の ESP 入力処理が、読み取り専用のはずのファイルの内容をその場で上書きしてしまうことが原因です。コンテナからの脱出にも使えるとされています。

米国の CISA は10月28日に、悪用が確認された脆弱性の一覧（KEV）へ追加しました。CISA は PHP の脆弱性2件と組み合わせて Web シェル（外から操作するための不正なファイル）を置き、root でコマンドを実行できると説明しています。この PHP の2件は、10月26日に KEV へ載っています。

攻撃の流れ

セキュリティ企業の Dream の報告によると、攻撃は次の順で進みました。時刻はいずれも UTC です。

• 10月8日から24日にかけて、攻撃者が公開されている PAN-OS 機器を探し、米国・日本・台湾・韓国の PAN-OS 12.1 と 12.2 を標的にしました
• PHP の欠陥で管理用 Web サーバーに入り、Fragnesia で root になります
• 10月23日に最初の機器、24日に同じ組織の2台目の機器が侵害されました。2台目からは内部へ SSH のトンネルが作られ、内部の管理サーバーも侵害されています
• Dream の研究者が10月25日に痕跡を見つけ、10月26日に公開しました

25台のうち24台は自動の処理で侵害されたもので、そのうち22台は Web シェルを置かれただけで放置されていました。国ごとの内訳は記事に書かれていません。内部のサーバーからは、Active Directory に対するパスワードの総当たりなどが試みられましたが、成功したかどうかは回収した記録からは分からず、侵害の全容は不明とされています。Palo Alto Networks の Unit 42 も、攻撃者の道具と Dream の報告を独自に確かめたとしています。

Palo Alto Networks の機器をお使いの場合

PHP の欠陥2件は、ファイアウォールと Panorama の管理用 Web 画面（HTTPS の管理画面と XML API）に影響します。攻撃の複雑さは高いと評価されていますが、ログインは要りません。Palo Alto Networks は、管理画面をインターネットの IP に公開している場合に危険が最も高いとし、信頼できる内部の IP だけに絞るよう案内しています。踏み台のサーバーからだけ入れるようにすると、危険は下がります。GlobalProtect とキャプティブポータルは、この PHP の欠陥の影響を受けないとされています。

修正版は、10月25日から29日にかけて系統ごとに出ています。たとえば 12.2 系は 12.2.4-h1 以降です。10.2 系から 12.2 系まで、それぞれの系統に修正版があるので、自社の版に当たるものを PSIRT の案内で確かめてください。サポートが終わった版は、サポート中の版への移行が必要です。

侵害されていないか調べるとき

Dream は、見つかった痕跡として次のものを挙げています。

• /unauth/php/change_password.php という、100バイトほどの PHP ファイル
• /usr/local/lib/.panops/ の下のスクリプトと、起動時に動く設定
• 外へつなぐ SSH トンネルの通信

Unit 42 は、PHP のプロセスから起動された子プロセス（特にシェル）や、/tmp から実行されるファイルなどを探す検索の例を載せています。心当たりがあれば、機器の初期化だけで済ませず、管理用に使っていた認証情報の入れ替えも含めて、対応を検討してください。

対象

Red Hat は RHEL 8・9・10 と、そのカーネルを使う製品を対象としています。Ubuntu は 26.10 が対象外です。Red Hat の案内では、ローカルアクセスを減らす対策（SSH の制限、SELinux を enforcing にする、など）は被害の低減に役立つものの、ほかの経路での侵入が残ることには注意するよう書かれています。 組み合わせて使われた PHP の脆弱性は、PHPに外からコード実行の脆弱性2件、悪用の観測もで扱っています。