Canonical、Squidの脆弱性6件を修正、Ubuntuの更新確認を

Canonicalは2026年10月20日、Web通信を中継し、取得したデータを保存するプロキシキャッシュサーバー「Squid」の脆弱性6件の修正を公表しました。セキュリティ通知は「USN-8941-1」で、情報を取得されたり、サービスを停止させられたりする恐れがあります。Ubuntuの版によって該当する問題が異なるため、導入パッケージと修正版の照合が必要です。

通信処理の不備で、保護の回避や停止の恐れ

CVE-2026-61642は、特定のHTTP Transfer-Encodingヘッダーの処理に関する不備です。Canonicalによると、HTTPリクエストスマグリングにつながる恐れがあります。これは、通信の区切りの解釈の違いを悪用する攻撃です。セキュリティ機構の回避や、保存したWebデータを不正な内容にするキャッシュ汚染の恐れがあります。

残る5件は、キャッシュに関する応答やFTPの一覧、キャッシュ間の通信に関する問題です。

• CVE-2026-50012：特定のキャッシュダイジェスト応答の処理で、メモリー領域を超えてデータを書き込むバッファーオーバーフローの恐れがあります。遠隔からSquidを異常終了させ、サービスを使えなくするDoSにつながる可能性があります。
• CVE-2026-47729：ファイル転送に使うFTPの特定のディレクトリ一覧の解析に不備があり、遠隔から機密情報を取得される恐れがあります。
• CVE-2026-32748／CVE-2026-33526：キャッシュ間で使うICP通信の処理に不備があり、遠隔からの異常終了やDoSの恐れがあります。
• CVE-2026-33515：特定のICPリクエストの処理に不備があり、遠隔から機密情報を取得される恐れがあります。

キャッシュダイジェスト・FTP・ICPに関する問題は、Ubuntu 16.04／18.04／20.04 LTSのみが対象です。すべてのUbuntuに6件すべてが該当するわけではありません。

Ubuntuの版ごとに修正版を照合

Canonicalは、修正版パッケージへのシステム更新を案内しています。通知に記載された修正版は次のとおりです。

• Ubuntu 24.04 LTS：squid、squid-opensslともに6.14-0ubuntu0.24.04.5
• Ubuntu 22.04 LTS：squid、squid-opensslともに5.9-0ubuntu0.22.04.8
• Ubuntu 20.04 LTS：squidは4.10-1ubuntu1.13+esm3
• Ubuntu 18.04 LTS：squidは3.5.27-1ubuntu1.14+esm6
• Ubuntu 16.04 LTS：squidは3.5.12-1ubuntu7.16+esm7

確認時は「Squidを使っているか」だけでなく、Ubuntuの版とパッケージ名も記録します。24.04 LTSと22.04 LTSでは、squid-opensslも照合対象です。別のUbuntu版の修正版番号を、そのまま自社の更新基準にしないようにします。

日本での提供は発表には書かれていません。日本向けの提供時期や地域別の条件を、この通知から判断することはできません。

影響する会社・しない会社

• 影響する: 通知に記載されたUbuntu環境でSquidを利用する会社です。まず修正版の適用状況を確認する対象になります。
• 影響する: Ubuntu 16.04／18.04／20.04 LTSでSquidを利用する会社です。HTTPヘッダーの問題に加え、キャッシュダイジェスト・FTP・ICPの問題も確認対象です。
• 影響しない: Squidを利用していない会社は、今回のSquidの修正については直接の更新対象ではありません。
• 影響しない: Ubuntu 24.04／22.04 LTSは、今回のキャッシュダイジェスト・FTP・ICPの問題の対象ではありません。ただし、今回の通知全体が対象外という意味ではありません。

情シスが今日やること

1. 今日の確認作業として、IT資産台帳のOS・導入ソフト欄でUbuntuとSquidを抽出します。委託運用のサーバーは、委託先にUbuntuの版、パッケージ名、導入済みバージョンの回答を依頼します。
2. 対象サーバーのパッケージ管理で、squidとsquid-opensslの導入済みバージョン、更新候補を確認します。上記の修正版と照合し、未確認と更新済みを分けて記録します。
3. 更新対象が分かった時点で、ネットワーク担当と利用部門に対象サーバー、想定する作業時間、通信確認への協力依頼を伝えます。更新期限は発表には書かれていないため、社内の対応期限を決めて共有します。
4. 修正版への更新後、パッケージのバージョンを再確認します。Squidを経由する業務通信の確認結果と合わせて記録し、委託先の作業分も報告を受けて対応を完了します。