Canonicalは2026年10月21日、c-aresの脆弱性4件を修正するセキュリティ通知「USN-8951-1」を公開しました。遠隔攻撃によってサービスが停止する恐れがあり、Ubuntu 16.04 LTSでは任意のコードを実行される恐れがある問題も含まれます。Ubuntuの版によって対象の脆弱性と修正パッケージが異なるため、OSと導入済みパッケージを組み合わせて確認する必要があります。
4件の問題、古い版だけが対象のものも
c-aresは、非同期の名前解決に使うライブラリです。今回の通知では、DNSの応答や設定文字列の処理に関する不備が案内されています。DNSは、ドメイン名に対応する情報を調べる仕組みです。
「CVE-2020-22217」は、DNSのSOA応答の解析に不備がある問題です。遠隔攻撃でクラッシュし、サービスを利用できなくするDoSにつながる恐れがあります。対象はUbuntu 16.04 LTSと18.04 LTSのみです。
「CVE-2022-4904」は、sortlist文字列の処理に不備があります。遠隔攻撃でDoSや任意コード実行につながる恐れがあり、対象はUbuntu 16.04 LTSのみです。
残る2件は、資源の過剰消費によるDoSの恐れがある問題です。「CVE-2026-69184」はDNS圧縮ポインタのホップ数と名前長の制限に、「CVE-2026-69186」はメモリを確保する前のDNSレコード数の検証に不備があります。後者の対象はUbuntu 24.04 LTSと26.04 LTSのみです。
このため、古いUbuntuだけを調べれば確認が終わるわけではありません。一方、任意コード実行の恐れが、通知に記載されたすべてのUbuntuに当てはまるわけでもありません。
修正版はOSごとに異なる、パッケージ名にも注意
通知に記載された修正版は次のとおりです。
- Ubuntu 26.04 LTS：
libcares2の1.34.6-1ubuntu0.2
- Ubuntu 24.04 LTS：
libcares2の1.27.0-1.0ubuntu1.1
- Ubuntu 22.04 LTS：
libc-ares2の1.18.1-1ubuntu0.22.04.4
- Ubuntu 20.04 LTS：
libc-ares2の1.15.0-1ubuntu0.5+esm1
- Ubuntu 18.04 LTS：
libc-ares2の1.14.0-1ubuntu0.2+esm3
- Ubuntu 16.04 LTS：
libc-ares2の1.10.0-3ubuntu0.2+esm4
24.04 LTSと26.04 LTSでは、ほかの掲載版とパッケージ名が異なります。棚卸しでは片方の名前だけを検索せず、OSに対応する名前と版を確認してください。上流の版番号だけでなく、通知にあるUbuntu向けの版番号全体を照合するのが確認のポイントです。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 通知に掲載されたUbuntu 16.04 LTS、18.04 LTS、20.04 LTS、22.04 LTS、24.04 LTS、26.04 LTSで、該当するc-aresパッケージを利用する会社は、導入版と修正版の照合が必要です。
- 影響する: Ubuntu 16.04 LTSでc-aresを利用する会社は、停止の恐れに加え、CVE-2022-4904による任意コード実行の恐れも踏まえて対応を判断します。
- 影響しない: Ubuntu 24.04 LTSと26.04 LTSは、CVE-2020-22217とCVE-2022-4904の対象ではありません。ただし、今回の修正全体が不要という意味ではありません。
- 影響しない: Ubuntu 16.04 LTSと18.04 LTSは、CVE-2026-69186の対象ではありません。これらの版では、別の掲載脆弱性について確認が必要です。
