RESERVED の脆弱性は検出できる？

～ MIRACLE Vul Hammer における Polkit 脆弱性 (PwnKit) の検出例～

2022 年に話題となっている脆弱性が Polkit の脆弱性 (CVE-2021-4034)^※1 です。
Polkit は、Linux ディストリビューションにデフォルトでインストールされている、設定ファイルポリシーにもとづいてユーザセッションと権限をコントロールできるツールです。CVE-2021-4034 では、メモリ破損につながる脆弱性が発見されました。この脆弱性を悪用すると、一般ユーザーであっても root 権限を得ることが可能になってしまいます。
1 月 28 日時点では CVE は RESERVED となっており、CVE 情報は公開されていませんでした。
その後、NVD^※2 で CWE などの詳細が公開されたのは、1 月 31 日でした。

RESERVED の脆弱性とは

CVE の Description に RESERVED と表記される脆弱性は、CVE 番号が「予約された」状態の脆弱性です。RESERVED の脆弱性は、Description が、以下のような表記になっています。
一般的には CVE の Description は脆弱性の修正や回避策が示された後に更新されます。

RESERVEDの脆弱性

RESERVED の脆弱性の情報はどこで得られるのか？

このように CVE は RESERVED となっているため、Mitre のサイトでは脆弱性の詳細な情報を確認することができません。以下に主な情報の参照先を解説します。

OS ベンダーからの提供

脆弱性情報は、OS ベンダーによって情報提供されることがあります。
特に Polkit の場合は、Linux ディストリビューションにデフォルトでインストールされており、各ベンダーもこの脆弱性に関する情報を公開しました。

Red Hat: https://access.redhat.com/security/cve/CVE-2021-4034
Canonical: https://ubuntu.com/security/CVE-2021-4034

該当ソフトウェアのコミュニティの情報

脆弱性が見つかったソフトウェアの以下のようなコミュニティの情報から、脆弱性に関する情報を取得することもできます。

メーリングリスト
ソースコード管理ツールの issue や commit
・Polkit の例 ^※3

MIRACLE Vul Hammer での検出例

1 月 28 日時点で、CVE は RESERVED のままでしたが、MIRACLE Vul Hammer では Polkit (CVE-2021-4034) の脆弱性が検出されました。
MIRACLE Vul Hammer では、ベンダーが提供する OVAL^※4 を利用して脆弱性の検出を行っているため、ベンダーが情報提供を始めた時点で各ベンダーの情報を確認することが可能です。

CVE は RESERVED のため、NVD でも深刻度は公開されていませんでした。このため、深刻度は UNKNOWN となりました。脆弱性情報詳細の画面から、各ベンダーが公開している情報を確認できます。

脆弱性情報詳細の画面