Looney Tunables (CVE-2023-4911).

glibc の動的ローダーにおいて GLIBC_TUNABLES 環境変数が引き起こすバッファオーバーフロー脆弱性で、多数の Linux 環境でローカル root を取得できる。 サイバーセキュリティの 脆弱性 カテゴリに属します。

glibc の動的ローダーにおいて GLIBC_TUNABLES 環境変数が引き起こすバッファオーバーフロー脆弱性で、多数の Linux 環境でローカル root を取得できる。

Looney Tunables は Qualys が 2023 年 10 月に公開した GNU C Library(glibc)の動的ローダー ld.so の脆弱性で、CVE-2023-4911 として追跡されています。glibc 2.34 で導入された GLIBC_TUNABLES 環境変数のパース処理におけるバッファオーバーフローが原因です。ld.so は SUID バイナリ起動時に特権で実行されるため、ローカルの低権限ユーザーが細工した GLIBC_TUNABLES を設定して su などの SUID プログラムを起動すれば root を奪取できます。影響を受けるのは Fedora 37/38、Ubuntu 22.04/23.04、Debian 12 および 13 の既定構成です。対策は glibc を修正版へ更新することです。

Looney Tunables (CVE-2023-4911) に対する防御は通常、上記の定義で述べたとおり、技術的統制と運用上の実践を組み合わせます。

一般的な別名: CVE-2023-4911, GLIBC_TUNABLES オーバーフロー。