Canonical、sudo-rsを修正 細かな編集権限を付与した環境は確認を

Canonicalは2026年10月20日、sudo-rsの脆弱性に対応するセキュリティ通知「USN-8708-2」を公開しました。以前の「USN-8708-1」で修正した問題について、Ubuntu 26.10向けにも修正を提供します。影響はsudoeditでファイル編集権限を細かく付与した構成に限られるため、利用版と権限設定を組み合わせて確認する必要があります。

任意のディレクトリへのファイル配置で権限昇格の恐れ

対象のrust-sudo-rsは、Rustで実装したsudoとsuのパッケージです。今回の問題は、そのうちファイル編集に使うsudoeditにあります。

Canonicalによると、sudoeditが「検査した時点」と「実際に使う時点」の間に起きる競合を適切に処理していません。この問題を悪用されると、任意のディレクトリにファイルを配置され、本来より強い権限を得られる可能性があります。

ただし、攻撃には条件があります。攻撃者はシステム内で操作できるローカルの利用者で、さらにsudoeditで特定ファイルを編集する権限を持っている必要があります。Canonicalは、影響がファイル編集権限を細かく付与した構成に限られ、その設定はデフォルトではないと説明しています。

Ubuntu 26.10向けの修正版は「0.2.14-1ubuntu4.1」です。Canonicalは修正済みパッケージへのシステム更新を案内しています。日本での提供は発表には書かれていません。

影響する会社・しない会社

• 影響する: Ubuntu 26.10で対象パッケージを利用し、sudoeditによる特定ファイルの編集権限を細かく付与している会社です。未更新であれば、権限設定と修正版の適用状況を確認する対象になります。
• 影響する: 上記の条件に当てはまり、端末やサーバーの管理を外部へ委託している会社です。自社の担当者だけで判断せず、委託先にもパッケージの版と編集権限の設定を確認してもらう必要があります。
• 影響しない: Canonicalが示した影響条件に該当しない、デフォルト構成で運用している環境です。ただし、現在もデフォルトのままかは実際の設定で確かめてください。
• 影響しない: rust-sudo-rsを導入していない環境は、今回の対象パッケージの確認対象から外せます。Ubuntu 26.10以外の修正状況は、この通知だけで一括して判断せず、対象版に対応する情報を別途確認してください。

判断の分かれ目は、Ubuntuを使っているかどうかだけではありません。「対象パッケージがあるか」「特定ファイルの編集権限を細かく付与しているか」「修正版か」を分けて記録すると、更新対象と確認済みの環境を整理できます。

情シスが今日やること

以下は、社内確認を進めるための手順です。

1. 今日中にUbuntu 26.10の管理担当を特定します。 IT資産台帳や運用一覧で該当する端末・サーバーを洗い出します。委託管理の環境についても、確認を依頼する相手を決めてください。
2. 対象環境のパッケージ管理情報を確認します。 rust-sudo-rsの導入有無と、インストール済みの版を記録します。今回の修正版「0.2.14-1ubuntu4.1」と照合し、未更新か、適用済みかを区別します。
3. 管理者にsudoeditの権限設定を確認してもらいます。 特定ファイルを編集できる利用者と、編集対象のファイルを確認します。「デフォルトのはず」で済ませず、細かな編集権限を付与しているかどうかを回答してもらってください。
4. 未更新の環境は、運用担当者と更新日を決めます。 Canonicalの案内に沿って修正済みパッケージへのシステム更新を進めます。確認結果を集めた段階で、対象環境、担当者、更新予定日を社内の管理責任者へ共有してください。
5. 更新後は版と編集作業を確認します。 パッケージの版を再確認し、必要なsudoeditの編集作業が行えるかを担当者と確かめます。確認結果を台帳や作業記録に残し、調査中の環境と対応済みの環境を分けて管理してください。