Canonicalは2026年10月13日付で、Linuxカーネルの複数の脆弱性を修正する「USN-8920-1」を公開しました。Ubuntu 20.04 LTSとUbuntu 18.04 LTSのクラウド向けパッケージが対象に含まれ、利用企業はOSの版だけでなく、導入しているカーネルの種類を確認する必要があります。導入済みのサードパーティー製カーネルモジュールには、再コンパイルと再インストールも必要です。
対象はAWS・Azure・IBMクラウド向けのカーネル
カーネルは、OSの中核を担うソフトウェアです。今回の案内には、AWS向けの「linux-aws-5.4」「linux-aws-fips」、Microsoft AzureのFIPS対応版「linux-azure-fips」、IBMクラウド向けの「linux-ibm」「linux-ibm-5.4」が含まれます。
Canonicalは、脆弱性が悪用されるとシステムが侵害される可能性があると説明しています。修正箇所には、F2FSファイルシステム、NFSサーバーデーモン、io_uring、IPv6ネットワーク、Netfilterの欠陥が含まれます。
日本での提供は発表には書かれていません。国内で管理している環境についても、所在地だけで判断せず、実際のOS版とパッケージを対象情報に照らして確認するのが実務上の進め方です。
修正版の番号と、外部製モジュールへの対応
今回の案内で示されている修正版は、次のとおりです。OSの版とパッケージ名を組み合わせて照合してください。
- Ubuntu 20.04 LTSの「linux-image-aws-fips」：5.4.0.1165.112
- Ubuntu 20.04 LTSの「linux-image-azure-fips」：5.4.0.1170.106
- Ubuntu 20.04 LTSの「linux-image-ibm-5.4」：5.4.0.1111.140
- Ubuntu 18.04 LTSの「linux-image-aws」：5.4.0.1165.176~18.04.1
- Ubuntu 18.04 LTSの「linux-image-ibm」：5.4.0.1111.116~18.04.1
ABIという、バイナリ互換性に関わる仕様の変更に伴い、更新カーネルには新しいバージョン番号が付いています。Canonicalは、導入済みのサードパーティー製カーネルモジュールについて、再コンパイルと再インストールが必要だと案内しています。
また、標準カーネルメタパッケージを削除していなければ、通常のアップグレードで更新されます。更新作業を手配する際は、カーネルだけでなく、外部製モジュールの作業も担当者に伝えてください。
影響する会社・しない会社
- 影響する: Ubuntu 20.04 LTSまたはUbuntu 18.04 LTSで、案内対象のAWS、AzureのFIPS対応版、IBMクラウド向けカーネルを使っている会社です。クラウド名だけではなく、導入パッケージとの照合が必要です。
- 影響する: 対象環境にサードパーティー製カーネルモジュールを導入している会社です。カーネル更新に加え、モジュールの再コンパイルと再インストールを作業範囲に含めます。
- 影響しない: 今回の案内対象のOS・カーネルパッケージを使っていない会社は、この更新の適用対象ではありません。ただし、ほかのOS版やカーネルに脆弱性がないことを示すものではありません。
情シスが今日やること
- OS版とカーネルを棚卸しする。 今日の確認では、資産管理台帳や運用記録からUbuntu 20.04 LTS・18.04 LTSの環境を抽出します。各環境の担当者に、導入済みカーネルのパッケージ名とバージョンの確認を依頼し、対象を絞ります。
- 修正版と更新経路を照合する。 対象環境のパッケージ情報を、上記の修正版と比べます。標準カーネルメタパッケージを削除していないかも、更新作業を決める前に運用担当者へ確認してください。
- 外部製モジュールの担当者を決める。 サードパーティー製カーネルモジュールの有無を確認します。導入している場合は、更新計画の確定前に運用担当者や委託先へ、再コンパイルと再インストールの対応可否を問い合わせます。
- 作業日と完了確認を共有する。 対象システムの責任者に、カーネル更新とモジュール対応をまとめて知らせ、作業日を調整します。適用期限は発表には書かれていません。更新後は、導入したパッケージの版とモジュール対応の完了を記録し、未対応の環境を残さないよう確認してください。
