
2026/11/03 3:39
Ubuntu はLinux 0day RCE のパッチをまだほぼ 3 ヶ月発表していない。
RSS: https://news.ycombinator.com/rss
要約▶
Japanese Translation:
要約:Ubuntu の長期支援(LTS)リリースである 22.04、24.04 および 26.04 は、重要な CVE-2026-98432 バグに対して公式なパッチ済みのカーネルが存在しないために、深刻なセキュリティ危機に直面している。この未修正のギャップは、インターネット公開環境やマルチテナント環境におけるシステムの完全性及び分離性に対して重大なリスクをもたらす。CVSS スコアが 9.8 という高値を持つ本バグは極めて危険でありながら、Ubuntu は修正済みカーネルパッケージをリリースしておらず、またそのリリーススケジュールについても公表していない。その結果、管理者は現在の LTS カーネル上でこの問題を安全にパッチ適用する公式な手段を持たない。このような状況下で、運用担当者は困難な戦略的選択肢の中から選ぶ必要がある:非公式の樹外による緩和措置を適用する(不安定化する可能性がある)、将来の修正を待つ間、脆弱な標準カーネルを継続的に稼働させるか、あるいは既にパッチ済みとなっているシステムへのワークロード移行を行う。公式な解決策が利用できるようになるまでの間は、組織は不可欠なセキュリティ強化を延期するか、あるいは直ちにこの CVE が可能にする遠隔またはローカルの攻撃ベクトルを緩和するためにインフラストラクチャを調整する必要がある。
本文
Ubuntu 24.04 および 26.04 向けに CVE-2026-98432 のパッチ済みカーネル未提供
脆弱性の概要と現状
- CVSS スコア 9.8 という極めて高い評価にもかかわらず、Ubuntu 22.04、24.04、26.04 向けにパッチ適用済みのカーネルはまだ提供されていない。
- 脆弱性 ID は CVE-2026-98432 とされる。
- 修正済みカーネルは Ubuntu から出荷されておらず、LTS リリース(22.04, 24.04, 26.04)についてはベンダーからのアップデートも利用できません。
影響範囲とリスク
- 公式な修復パッケージが存在しない
- 当該リリースを実行している管理者に対して、この欠陥を封じる公式なカーネルパッケージは存在しません。
- 特に深刻な環境でのリスク
- Ubuntu の LTS カーネルを隔離および権限境界の確保のために依存しているインターネット接続のある環境。
- マルチテナント形態でセルフホストされているシステム。
- 関連パッケージが提供されるまでの間、これらのホストは CVE が可能にするあらゆるリモートまたはローカルからの攻撃に曝されたままです。
管理者への対応と選択肢
- Ubuntu 側では修正対応の予定日(ETA)を公式に発表していない。
- 影響を受ける管理者らは、以下のいずれかの判断を下す必要があります:
- 現状の標準カーネルをそのまま維持する
- 利用可能な場合、外付け(アウトオブツリー)の緩和策を適用する
# 例:外部パッチや設定変更による回避策の適用検討 # (具体的なコマンドは脆弱性詳細およびベンダードキュメントを確認してください) - ワークロードを、すでにパッチを適用したリリースまたはカーネルへ移行する