Linux カーネルの整数オーバーフローでローカル権限昇格（悪用確認済み）

High（CVSS 7.8）に分類されるLinux Linux Kernelの脆弱性です。Linux カーネルの create_elf_tables() に整数オーバーフローがあり、SUID などの特権バイナリを実行できる非特権ローカルユーザーが権限を昇格できる。Red Hat の記述では脆弱なのは 2.6.x・3.10.x・4.14.x 系のカーネルとされ、通称 Mutagen Astronomy として知られる問題である。攻撃には特権バイナリの実行と大量のメモリ（64bit 環境で 32GB 以上のスタック引数）が必要なため、メモリの小さいインスタンスでは成立しにくいという性質がある。CVSS は NVD（Primary）と Red Hat（CNA）がいずれも CVSS 3.0 で 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）と評価しており、評価元による食い違いは無い。旧 CVSS v2 では 7.2。公開は 2018年9月25日だが、CISA KEV への収載は 2026-01-26 で、是正期限は 2026-02-16。悪用が確認されたのは公開から7年以上あとという、古い CVE が現役の脅威として再浮上した例である。NVD の CPE には Linux カーネル本体に加えて、当時このカーネルを内蔵していた Palo Alto PAN-OS・F5 BIG-IP 各製品など多数のアプライアンスが列挙されている。

現行のディストリを普通に運用している環境では、すでに修正済みのカーネルが入っているのが通常で、この CVE は「古い箱が残っていないか」を確認する作業になる。判定は uname -r で確認し、2.6 系・3.10 系（RHEL/CentOS 6・7 相当）・4.14 系のカーネルを使っているホストを抽出する。Red Hat 系は RHSA-2018:2748 以降の errata、Debian/Ubuntu は各ディストリのトラッカーで Fixed になったカーネルへ上げれば終わりで、やることはカーネル更新と再起動である。EC2 / GCE / Azure VM のイメージが古いまま作り直されていない、あるいは長期稼働で再起動を避けてきたホストが実質的な残存箇所になるので、稼働時間（uptime）と稼働中カーネル版のずれ（更新済みだが再起動していない）も併せて見る。ライブパッチ（Ubuntu Livepatch・Red Hat kpatch）を使っている場合は、該当 CVE がライブパッチで塞がれているかをベンダーの一覧で確認する。緩和策としては、攻撃に特権バイナリの実行と大量メモリの確保が必要という前提を利用して、（1）不要な SUID バイナリを削る、（2）非特権ユーザーへのシェル提供をやめる、（3）cgroup のメモリ上限でユーザープロセスの確保量を絞る、という方向で難易度を上げられるが、いずれも根本対策ではない。アプライアンス側（PAN-OS や BIG-IP など NVD の CPE に挙がっている製品）を使っている場合は、ベンダーが出している当該 CVE の修正版ファームウェアの適用が必要になるので、機器ごとにベンダーのアドバイザリを確認する。KEV 是正期限 2026-02-16 は経過しているため、古いカーネルのホストが残っているなら期限超過として扱う。

Linux Linux Kernel を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2018-14634）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/02/16 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。