Linux カーネル netfilter のヒープ外書き込みで権限昇格（悪用確認済み）

High（CVSS 7.8）に分類されるLinux Linux Kernelの脆弱性です。Linux カーネルの net/netfilter/x_tables.c にヒープ外書き込みがあり、権限昇格またはヒープ破壊による DoS が可能である。v2.6.19-rc1 以降のカーネルが影響を受け、user namespace 経由で到達できるため、非特権ユーザーでも unprivileged user namespace が有効な環境では攻撃面に入る。コンテナ内から自ノードのカーネルを攻撃する経路になり得る点が、クラウドやコンテナ運用では重要である。CVSS は評価元で分かれており、NVD（Primary）は 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CNA の Google は 8.3 High（AV:A/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H）で、Google は攻撃元を隣接ネットワーク・スコープ変更ありと見ている。旧 CVSS v2 では 4.6。修正済みカーネルは 4.4.267 / 4.9.267 / 4.14.231 / 4.19.188 / 5.4.113 / 5.10.31 および 5.12 以降で、NVD の CPE 範囲もこれに一致する。CISA KEV には 2025-10-06 に収載され、是正期限は 2025-10-27。ランサムウェア利用は Unknown（不明）。

対応はカーネル更新で終わる。判定は uname -r を集めて、上に挙げた修正版（同系列で 4.4.267 / 4.9.267 / 4.14.231 / 4.19.188 / 5.4.113 / 5.10.31 未満、または 5.11 系）に該当するホストを抽出する。ディストリのカーネルは版番号にディストリ固有のリビジョンが付くため、最終判断はディストリの CVE トラッカーで Fixed になっているかで行う。更新後に再起動していないホストは稼働中カーネルが古いままなので、パッケージの版と uname -r の両方を見る。コンテナ運用では、コンテナイメージではなくノードのカーネルが対象であることに注意する（EKS / GKE / AKS ならノードプールのアップグレード、自前なら kubelet ノードのカーネル更新）。すぐに更新できない場合の緩和策は、攻撃の入口である user namespace を絞ることで、具体的には非特権 user namespace の無効化（sysctl の kernel.unprivileged_userns_clone=0、あるいは user.max_user_namespaces=0）が候補になる。ただしこれは Docker の rootless や一部のサンドボックス、snap などを壊すので、影響を確認してから入れる必要があり、恒久策ではない。Ubuntu ではライブパッチ（LSN-0080-1 / LSN-0081-1 / LSN-0083-1）で本件が扱われているため、再起動枠が取れないホストは Livepatch の適用状況を確認するという選択肢もある。完了条件は、（1）全ノードのカーネルが修正版以上で稼働している（パッケージだけでなく稼働カーネル）、（2）ライブパッチ運用のホストは該当 LSN が適用済み、の2点である。KEV 是正期限 2025-10-27 は経過しているので、未更新ノードは期限超過として扱う。

Linux Linux Kernel を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2021-22555）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/10/27 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。