Canonicalは2026年10月21日、PDF描画用ライブラリ「poppler」の脆弱性を修正する告知「USN-8950-1」を公開しました。細工されたファイルを開くと処理が停止する恐れがあり、Ubuntuの対象4版について修正版パッケージを案内しています。情シスは、対象環境での導入状況とパッケージの版を確認してください。
暗号化PDFの処理で停止する恐れ
問題は、特定の暗号化PDFを復号する際の、パスワード長の上限処理にあります。Canonicalによると、細工されたファイルを開くとpopplerがクラッシュする恐れがあります。攻撃者がこの不備を利用し、サービス拒否を引き起こす可能性があります。サービス拒否とは、処理を止めるなどしてサービスを使えなくすることです。
確認の軸は、Ubuntuを使っているかだけではありません。対象のpopplerパッケージが入っているか、どの業務のPDF処理で利用しているかを分けて調べると、更新対象と業務への影響を整理できます。
今回の告知で示された影響は、クラッシュとサービス拒否です。情報漏えいや不正なコードの実行が起きると読み替えず、PDF処理が停止する可能性への対応として社内に伝えるのが適切です。
対象4版と修正版パッケージ
Canonicalは、指定の修正版パッケージへの更新で問題を解消できるとしています。OSの版ごとに、照合するパッケージ名と修正版が異なります。
- Ubuntu 26.10：
libpoppler162、修正版は26.07.0-2ubuntu1.1
- Ubuntu 26.04 LTS：
libpoppler156、修正版は26.01.0-2ubuntu0.3
- Ubuntu 24.04 LTS：
libpoppler134、修正版は24.02.0-1ubuntu9.11
- Ubuntu 22.04 LTS：
libpoppler118、修正版は22.02.0-2ubuntu0.15
更新作業の記録では、「Ubuntuを更新した」だけで完了とせず、対象パッケージ名と適用後の版を残してください。複数のUbuntu版を運用している場合も、上記の組み合わせで確認できます。
日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記4版のUbuntuで、対象のpopplerパッケージを導入し、今回の修正が未適用の会社です。対象パッケージを使うPDF処理を確認する必要があります。
- 影響する: 対象環境のPDF処理を委託している会社です。自社の管理対象に限らず、委託先に対象パッケージの有無と更新状況を照会するのが実務上の確認点です。
- 影響しない: 対象パッケージを指定の修正版へ更新済みの環境は、Canonicalが今回の問題を解消できるとしている条件に当たります。ただし、別の環境が未更新のまま残っていないかは確認が必要です。
上記以外のUbuntu版について、今回の資料には影響範囲が書かれていません。対象一覧にないことだけで、安全と判断しないでください。
