Canonicalは2026年10月21日、Ghostscriptの脆弱性を修正したと公表しました。細工された文書・ファイルを処理すると、任意のコードを実行されたり、処理の制限を回避されたりする恐れがあります。Ubuntuの対象環境では、OSのリリースと導入パッケージを照合し、指定の修正版へ更新する必要があります。
文書の自動処理も確認対象に
セキュリティ通知の識別番号は「USN-8949-1」です。今回案内された問題は、利用者または自動システムが、細工された文書・ファイルを処理することが攻撃の条件です。人がファイルを開く場面だけでなく、自動処理でGhostscriptを使っているかも確認する必要があります。
「CVE-2026-101258」は、PostScript処理時のメモリ管理に関する問題です。プログラムの動作範囲を制限するサンドボックスを回避し、任意のコードを実行される恐れがあります。
「CVE-2026-103226」は、特定フォントの変換時にメモリを不適切に扱う問題です。Ghostscriptの異常終了や、任意コード実行につながる恐れがあります。
このほか、フォント読み込み時に、処理に使う値を検証する仕組みにも不備があります。この問題にはCVE番号が付いていませんが、サンドボックス回避と任意コード実行につながる恐れがあるとしています。管理台帳では、CVE番号だけでなく通知番号でも追跡すると、番号のない問題を更新確認から落とさずに済みます。
Ubuntuのリリースごとに修正版が異なる
Canonicalが案内する対処は、指定された修正版パッケージへのシステム更新です。libgs10、libgs9の修正版は次のとおりです。
- Ubuntu 26.10：libgs10
10.07.1~dfsg-1ubuntu2.1
- Ubuntu 26.04 LTS：libgs10
10.06.0~dfsg-3ubuntu1.2
- Ubuntu 24.04 LTS：libgs10
10.02.1~dfsg1-0ubuntu7.10
- Ubuntu 22.04 LTS：libgs9
9.55.0~dfsg1-0ubuntu5.15
- Ubuntu 20.04 LTS：libgs9
9.50~dfsg-5ubuntu4.15+esm3
- Ubuntu 18.04 LTS：libgs9
9.26~dfsg+0-0ubuntu0.18.04.18+esm6
- Ubuntu 16.04 LTS：libgs9
9.26~dfsg+0-0ubuntu0.16.04.14+esm11
libgs10-commonとlibgs9-commonの修正版も、それぞれの対象リリースのlibgs10、libgs9と同じバージョンです。OS名だけで更新済みと判断せず、パッケージ名とバージョンをセットで照合してください。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記のUbuntuリリースで対象パッケージを導入し、利用者が文書・ファイルを処理する会社です。導入版が修正版かを確認する必要があります。
- 影響する: 同じ対象環境で、文書・ファイルを自動処理するシステムを運用する会社です。利用者の操作がなくても、細工されたファイルの処理が攻撃条件になります。
- 影響しない: と断定できるOSや版の一覧は、発表には書かれていません。今回列挙されていない環境を、この通知だけで安全と判断しないでください。
情シスが今日やること
以下は社内で進める確認手順の提案です。発表に更新期限は書かれていないため、担当者と実施予定を決めて進めてください。
- 今日、IT資産台帳で対象のUbuntu環境を抽出します。各環境の端末から
cat /etc/os-releaseでリリースを確認し、台帳と一致するかを記録します。
- 対象環境で
dpkg-query -W libgs10 libgs10-common libgs9 libgs9-commonを実行し、導入されているパッケージと版を確認します。該当するリリースの修正版と照合し、未確認の環境も一覧に残します。
- 更新日を決める前に、システム担当者と委託先へUSN-8949-1を共有します。対象パッケージを使う自動処理の有無、扱うファイル、処理の停止を調整できる時間を確認してください。
- 合意した作業日時にシステム更新を行い、完了後にパッケージの版を再確認します。文書処理の担当者と通常の処理結果も確認し、更新済みの版、実施日、確認者を管理台帳に残してください。
