Linux カーネル POSIX CPU タイマの競合で権限昇格（Android でも悪用確認）

High（CVSS 7.8）に分類されるLinux Linux Kernelの脆弱性です。Linux カーネルの posix-cpu-timers に競合状態がある。exit_notify() を通過した終了中のタスクが IRQ から handle_posix_cpu_timers() を呼ぶと、unlock_task_sighand() の直後に親やデバッガに回収され得る。この瞬間に posix_cpu_timer_del() が並行して走ると timer->it.cpu.firing != 0 を検知できず、状態不整合が起きる。修正は run_posix_cpu_timers() に tsk->exit_state の確認を追加するもので、CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y のカーネルでは exit_task_work() が exit_notify() より先に呼ばれるためこの修正は不要とされている。CVSS は評価元で分かれており、カーネルの CNA は 7.8 High（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H）、CISA-ADP は 7.4 High（AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H）で、攻撃条件の複雑さ（AC:L か AC:H）と権限要求の見方が異なる。NVD 自身の Primary スコアは付いていない。影響範囲は 2.6.36 以降で、修正済みは 5.4.295 / 5.10.239 / 5.15.186 / 6.1.142 / 6.6.94 / 6.12.34 / 6.15.3 以降。CISA KEV には 2025-09-04 に収載され、是正期限は 2025-09-25。Android の 2025年9月セキュリティ速報でも扱われており、実際の悪用は主に Android 端末に対するローカル権限昇格として観測されている。

サーバ側の対応はカーネル更新に尽きる。判定は uname -r を集め、系列ごとに修正版（5.4.295 / 5.10.239 / 5.15.186 / 6.1.142 / 6.6.94 / 6.12.34 / 6.15.3）未満なら該当と見る。ディストリカーネルは独自リビジョンが付くので、最終判断は Ubuntu / Red Hat / Debian の CVE トラッカーで当該 CVE が Fixed かどうかで行う。もう1つ確認する価値があるのは CONFIG_POSIX_CPU_TIMERS_TASK_WORK の値である。上流のコミットメッセージが「この修正は CONFIG_POSIX_CPU_TIMERS_TASK_WORK=y では不要」と明言しているため、/boot/config-$(uname -r) や /proc/config.gz を見てこの設定が y になっているカーネルなら、この経路のリスクは低いと判断できる（ただし設定確認は判断材料であって、更新の代替ではない）。攻撃前提はローカルコード実行なので、緩和の方向は「非特権ユーザーにコード実行させない」ことになる。マルチテナントで一般ユーザーにシェルを配っている環境、ユーザー投稿コードを実行するビルド/CI ノード、Android 端末が実際のリスク面である。逆に、単一用途のアプリサーバで対話ログインを絞っている環境の優先度は相対的に下がる。完了条件は、全ノードの稼働カーネルが修正版以上（更新後の再起動まで完了）であること。Android を業務端末として管理しているなら、2025年9月以降のセキュリティパッチレベルが当たっているかを MDM で確認する作業が別途必要になる。KEV 是正期限 2025-09-25 は経過済みのため、未更新ノードは期限超過として扱う。

Linux Linux Kernel を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2025-38352）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2025/09/25 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、クラウドサービスについては該当する BOD 22-01 のガイダンスに従うこと。緩和策が無い場合は当該製品の使用を停止すること。