Canonicalは2026年10月15日、Goの脆弱性に関するセキュリティ通知「USN-8883-2」を公開しました。Ubuntu 22.04 LTS(jammy)のGo 1.23向けに修正を提供します。対象環境を管理する情シスは、導入パッケージとバージョンを確認し、開発担当者と更新を調整してください。
ホスト名によるアクセス制御を回避される恐れ
Canonicalによると、問題はGoの「x/net/idna」にあります。Punycodeラベルというホスト名の表記に関わる文字列のうち、ASCII文字だけになるものを処理する際に不備があります。
この不備により、攻撃者がホスト名に基づくアクセス制御を回避する恐れがあります。アクセス制御とは、接続先などの条件によって利用を許可・拒否する仕組みです。Canonicalは、この脆弱性によって攻撃者が権限を昇格する恐れもあると説明しています。
確認では、Goを使っているかだけでなく、該当環境でホスト名を許可・拒否の判断に使っているかも、開発担当者に聞くことを勧めます。ただし、今回の資料には個々のアプリケーションへの影響条件までは書かれていません。利用機能だけを理由に、対応不要と決めないことが大切です。
対象はGo 1.23、修正版は3パッケージで共通
今回の修正パッケージの対象は、Ubuntu 22.04 LTSのGo 1.23です。次の3パッケージについて、修正版はすべて「1.23.1-1~22.04.3」と案内されています。
- golang-1.23
- golang-1.23-go
- golang-1.23-src
同じ脆弱性について、Go 1.18、1.21、1.24は先行する通知「USN-8883-1」で修正済みです。今回の通知だけを見て、これらの系列には脆弱性がなかったと受け取らないようにしてください。自社で使う系列に対応した通知を確認する必要があります。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: Ubuntu 22.04 LTSで、今回の対象となるGo 1.23のパッケージを導入している会社です。修正版が適用されているか確認してください。
- 影響する: Go 1.18、1.21、1.24を利用している会社も、同じ脆弱性について先行通知での確認が必要です。今回のGo 1.23向け更新とは分けて管理してください。
- 影響しない: 今回の「Ubuntu 22.04 LTS向けGo 1.23のパッケージ更新」に限れば、該当環境を利用していない会社は対象外です。ただし、他の環境でも同じ脆弱性の影響がないと判断できる情報は、今回の資料には書かれていません。
情シスが今日やること
- 資産情報から対象候補を抽出します。 本記事を読んだ時点で、社内の資産台帳や構成管理情報からUbuntu 22.04 LTSの環境を探し、管理担当者を確認してください。発表には特定の管理画面や確認メニューの指定はありません。
- パッケージ名とバージョンを照合します。 対象環境の導入済みパッケージ一覧で、上記3パッケージの有無とバージョンを確認します。修正版「1.23.1-1~22.04.3」と照合し、未確認の環境も記録してください。
- 開発担当者や委託先に確認を依頼します。 対象環境の一覧、パッケージの確認結果、USN-8883-2の通知番号を共有します。ホスト名に基づくアクセス制御の利用状況と、更新に伴う検証項目の確認を依頼してください。
- 更新日と完了条件を決めます。 システムの管理担当者と更新・動作確認の日程を調整し、適用後のバージョンを記録します。発表には対応期限の指定はないため、自社の運用に合わせて担当者と期限を明確にしてください。
