OpenBSD に 37 年前のカーネルバグ、root 奪取を実証

セキュリティ企業 Calif は 2026-10-16、OpenBSD カーネルの古いバグを連鎖させてローカルから root 権限を得る攻撃手法「Big Fish」を公開しました。修正は OpenBSD 7.9 の errata として配布済みで、OpenBSD を運用する管理者に関係します。

主なポイント

原因は、約 37 年前の BSD のソースで符号付き 16 ビットと定義された共有メモリの接続数カウンタ shm_nattch です。fork を繰り返すと 32,767 を超えて負の値に戻ります。
このオーバーフローが競合状態を介した use-after-free につながり、別のカーネル内の範囲外書き込みと組み合わせて任意アドレスへの書き込みを実現しました。
KARL、SMAP、SMEP が有効な状態でも、情報漏えいの脆弱性を使わずに root シェルを取得できたとしています。
修正は errata 026 (sysvipc) と errata 018 (shmat) です。Calif は修正案を添えて OpenBSD に報告していました。