Linux カーネルの CVE 割り当てプロセスと、脆弱性番号が多く見える理由を理解する

Linux カーネル開発チームは、カーネルで修正されたセキュリティ脆弱性を特定しカタログ化するため、Common Vulnerabilities and Exposure (CVE) 番号を割り当てます。通常の安定リリースプロセスの一部として、セキュリティ問題の可能性があるカーネルの変更は、CVE 番号の割り当てを担当する開発者によって特定され、自動的に CVE 番号が割り当てられます。これらの割り当ては、linux-cve-announce メーリングリストに頻繁に公開されます。

カーネルの CVE 割り当てチームは、どのバグ修正が CVE 番号の割り当てに値するかを決定する際、意図的に過剰に慎重なアプローチを取ります。この慎重さは、ドキュメントが述べているように、『ほとんどのバグはカーネルのセキュリティを脅かす可能性がある』というカーネルのシステムアーキテクチャにおける独特の位置から来ています。ただし、バグが最初に修正およびパッチ適用されたときに、その悪用の可能性が明らかになることは頻繁ではありません。この不確実性のため、チームは積極的な悪用が示されていない場合でも、セキュリティへの影響がある可能性があると特定したバグ修正すべてに CVE 番号を割り当てます。

Linux システムのユーザーは、特定の CVE が自分の環境に適用されるかどうかを自分で判断する必要があります。Linux カーネルのドキュメントが明確に述べているように、『Linux カーネルはさまざまな方法で使用され、外部ユーザーによるさまざまなアクセス方法、あるいはまったくアクセスがない場合もあります。そのため、特定の CVE の適用性は Linux ユーザー自身が判断するものです。』さらに、カーネルの substantial size と complexity を考慮すると、『いずれかのシステムはソースツリーのごく一部しか使用しない』ため、『割り当てられた多数の CVE は、そのシステムにとって関連がない』ということになります。