Canonicalは、curlの脆弱性修正をセキュリティ告知「USN-8927-2」で案内しました。Ubuntu 26.10向けの修正で、任意のコードを実行される恐れや認証情報が漏れる恐れがあり、利用環境と通信設定の確認が必要です。告知日は、提供された資料には書かれていません。
Ubuntu 26.10向けに18件の脆弱性を修正
今回の告知は、USN-8927-1に対応する修正をUbuntu 26.10向けに提供するものです。資料には18件の脆弱性が挙げられています。ただし、修正済みパッケージの具体的なバージョンは書かれていません。
特に確認したいのは、外部から渡されるデータの処理に関する不具合です。FTPのワイルドカード処理では、解放したメモリーを再び使う不具合により、任意コード実行の恐れがあります(CVE-2026-92388)。HTTP/2でのアップロードにも、同じく解放済みメモリーの使用による任意コード実行の恐れがあります(CVE-2026-92392)。
処理が止まる問題もあります。不正なFTPなどのサーバー応答で無期限に待機する恐れがあるほか、Cookie項目の処理や保存で、サービスを利用できなくなるサービス拒否が起きる恐れがあります。深く入れ子になったMIME構造の処理では、処理用のメモリー領域があふれるスタック溢れも報告されています。
日本での提供は発表には書かれていません。
認証情報と接続先の検証にも影響
認証情報を扱う処理にも複数の問題があります。AWS SigV4の認証状態を消去する処理の不備(CVE-2026-86409)や、HTTPプロキシからの認証要求(CVE-2026-86414)により、情報が漏れる恐れがあります。.netrcに由来する認証情報が、取得するURLに露出する恐れもあります(CVE-2026-94266)。
接続先が正しいかを確認する処理も対象です。SFTP・SCPへの転送時にSSHホストの検証設定が欠落する問題と、libssh2利用時にホスト鍵の不一致を誤判定する問題があります。
また、暗号化された通信を使うための仕組みであるHSTSの項目処理に不備があり、暗号化されないHTTPを使う恐れがあります。HSTSの期限値の処理には、サービス拒否やデータ損失につながる恐れもあります。
このため、確認を「curlが入っているか」だけで終えず、どの通信方式や認証設定を使っているかまで整理することが、対応順を決める材料になります。
影響する会社・しない会社
- 影響する: Ubuntu 26.10でcurlを利用している会社です。今回の修正の対象として、自社環境の更新状況を確認する必要があります。
- 影響する: その環境でFTPのワイルドカード処理、HTTP/2アップロード、HTTPプロキシ認証、SFTP・SCPなどを利用している会社です。それぞれに対応する脆弱性の条件を確認してください。
- 影響しない: Ubuntu 26.10を使っていない会社は、今回案内された「26.10向け修正」の適用対象ではありません。ただし、他のUbuntuの版や他のOSでcurlが安全かどうかは、今回の資料だけでは判断できません。
