masayang 曰く、 "Debianのセキュリティアナウンスより。カーネル2.4.22/2.6.0-test5までのバージョンには、ローカルで実行されるプログラムがカーネル内の全メモリ空間にアクセスできてしまうバグがあったようです。Debianでは2.4.18-14で修正されている、とのこと。"

不正侵入されたDebianサーバのイメージを解剖調査した結果、暗号化された攻撃ツールを発見。さらなる解析で復号化に成功し、Red HatとSuSEのカーネルチームとの協力でカーネルを攻撃するツールであることが判明した。悪用されたバグはbrk(2)システムコールに存在したInteger Overflowで、新規にマップされるアドレス領域の終端が始まりの前でないかがチェックされていなかったものだ。バグ自体は9月に発見・修正されたが、これまでは悪用が可能とは思われていなかった。興味を持った人は2.4.23および2.6.0-test6以降でmm/mmap.c内do_brk()の冒頭でEINVALが返されるところを見てみよう。

このバグを悪用するコードは現時点では一般に流通していなくとも、実存していて、なおかつ悪意を持って使われているので、古いカーネルを使っている人は早めにアップグレードするか問題の所に2行パッチを当てるべきだろう。