Akamai は、macOSおよびLinux向けのAkamai Guardicore Platform Agentに存在するローカル権限昇格の脆弱性を修正しました。本記事では、その詳細なメカニズムと影響範囲について解説します。本脆弱性を修正したアップデート版は、2026年4月初旬より対象製品をご利用のすべてのお客様に提供されています。未対応の場合は、早急なアップグレードを強く推奨します。
脆弱性の詳細と影響範囲
LinuxおよびmacOS上のAkamai Guardicore Platform Agent、ならびにAkamai Zero Trust Clientにおいて、LPE (ローカル権限昇格) の脆弱性が確認されました。基盤となるサービスが、全ユーザーが書き込み可能な（world-writable）/tmp ディレクトリにIPCソケットを作成し、認証されていないIPCコントロールメッセージを受け入れてしまう問題です。
この仕様により、当該サービスの HandleSaveLogs() 関数においてTOCTOU（Time-of-Check to Time-of-Use）脆弱性が引き起こされます。具体的には、ログファイルを作成し、それを標的のパスを指すシンボリックリンクに操作することで、権限を持たないローカルユーザーが、任意のroot所有ファイルを全ユーザー書き込み可能へと変更できる恐れがあります。.
さらに、root権限で実行されている診断収集ツール（gimmelogs）には、dbstoreからのコマンドインジェクションに対する脆弱性も存在しており、これが第2の権限昇格ベクターとなっていました。
Windows環境においても同様のコマンドインジェクションの脆弱性ベクターは存在しますが、即座に悪用される状態にはありません。ただし、この脆弱性を利用することで、任意の場所に診断用ZIPファイルが作成される可能性は残っています。
なお、一連の攻撃ベクターは、対象のワークステーションやサーバーに対してローカルアクセス権を持つユーザーのみが悪用できるものであり、リモートからの悪用は不可能です。
性には「CVE-2026-34354」が割り当てられています。
必要な対策とアップグレード手順
セキュリティリスクを確実に取り除くため、macOSまたはLinuxをご利用のお客様は、オンラインドキュメントの手順に従ってクライアントをアップグレードしてください（注：Akamai Zero Trust Clientのインストール手順も同様です）。ご不明な点がある場合は、Akamai Control Center Portal経由でお問い合わせください。
Windowsクライアントをご利用のお客様については差し迫ったリスクはありませんが、セキュリティ強化およびファイルシステム保護向上の観点から、次回の定期メンテナンスのスケジュールに合わせてアップグレードを実施していただくことをお勧めします。
発見者
本脆弱性は、Rajesh Sharmaによる社内調査で発見されました。
Tags
