Canonicalは2026年10月21日、セキュリティ告知「USN-8930-2」を公開し、Ubuntu 26.10向けにU-Bootの脆弱性修正版を提供しました。ネットワーク通信の処理に不備があり、サービス停止や任意コード実行につながる恐れがあります。Ubuntuを使っているかだけでなく、対象のU-Bootパッケージを導入しているかが確認の入口です。
Ubuntu 26.10向けに既存の修正を適用
U-Bootは、組み込みシステム向けのブートローダーです。ブートローダーは、システムの起動を担うソフトウェアを指します。今回の更新は、先に告知された「USN-8930-1」の修正をUbuntu 26.10に適用するものです。
告知に記載された修正版は、次の3パッケージで共通です。
- u-boot-imx：2025.10-0ubuntu6
- u-boot-qemu：2025.10-0ubuntu6
- u-boot-tools：2025.10-0ubuntu6
確認時は、Ubuntuのリリース番号とパッケージの版を分けて記録します。今回の対象OSはUbuntu 26.10で、修正を確認するパッケージの版は2025.10-0ubuntu6です。
日本での提供は発表には書かれていません。
NFSの不備は任意コード実行の恐れ
ネットワーク越しにファイルを扱うNFSでは、READとREADLINKの応答処理に不備があります。識別番号はCVE-2026-74220とCVE-2026-74221です。確保した領域を超えてデータを扱うバッファーオーバーフローが起き、サービス拒否や任意コード実行につながる恐れがあります。
CVE-2026-74222は、ネットワーク通信を処理するlwIP実装で、HTTPデータの保存に失敗した際の処理に関する不備です。解放済みのメモリを使ってしまい、サービス拒否につながる恐れがあります。
CVE-2026-74225は、ネットワーク起動時に使うDHCPv6のオプション長を十分に検証しない不備です。範囲外のメモリへのアクセスにより、サービス拒否を招く恐れがあります。これらは起こり得る影響であり、今回の資料は被害発生を伝えるものではありません。
影響する会社・しない会社
- 影響する: Ubuntu 26.10で、u-boot-imx、u-boot-qemu、u-boot-toolsを導入している会社は、今回の修正版との照合が必要です。NFS、HTTP、DHCPv6を使う起動環境の有無も、機器の管理担当者に確認してください。
- 影響しない: Ubuntu 26.10と対象パッケージを利用していない会社は、今回示された更新対象には当たりません。ただし、別のUbuntuリリースや他のU-Boot環境まで脆弱性の影響がないと判断できる情報は、今回の資料にはありません。
