Canonicalは2026年10月14日、YAML-LibYAMLの複数の脆弱性を修正したセキュリティ通知「USN-8925-1」を公開しました。細工したファイルを開くことで悪用され、ファイル削除や任意コード実行、サービス拒否につながる恐れがあります。Ubuntuの版によって対象となる脆弱性と修正版が異なるため、利用環境ごとの確認が必要です。
ファイル削除・コード実行の2件は旧版が対象
更新対象の「libyaml-perl」は、libyamlをPerlから利用するためのインターフェースです。今回の確認では、Ubuntuの版だけでなく、このパッケージを導入しているかも調べてください。
Canonicalが示した脆弱性のうち、CVE-2017-20285はファイル削除につながる恐れがあります。CVE-2019-25777は、攻撃者が意図した処理を動かす「任意コード実行」につながる恐れがあります。この2件の対象は、Ubuntu 16.04 LTSとUbuntu 18.04 LTSのみです。
もう1件のCVE-2026-63676は、文字列のパターン照合に使う正規表現で、処理をさかのぼって繰り返す動作が過剰になる問題です。Canonicalは、サービス拒否につながる恐れがあるとしています。
3件を一括して「すべての版でファイル削除やコード実行の恐れがある」と扱わないことが重要です。運用担当者への連絡にも、Ubuntuの版と該当する問題を分けて記載してください。
libyaml-perlの修正版はUbuntuの版ごとに異なる
通知に記載されたlibyaml-perlの修正版は次のとおりです。別のUbuntu版の番号と比べず、自社で利用している版に対応する番号を確認します。
- Ubuntu 26.04 LTS：
1.31-1ubuntu0.26.04.1~esm1
- Ubuntu 24.04 LTS：
1.31-1ubuntu0.24.04.1
- Ubuntu 22.04 LTS：
1.30-1ubuntu0.22.04.1
- Ubuntu 20.04 LTS：
1.30-1ubuntu0.20.04.1~esm1
- Ubuntu 18.04 LTS：
1.24-1ubuntu0.1~esm1
- Ubuntu 16.04 LTS：
1.15-1ubuntu0.1~esm1
末尾の~esm1を含め、版番号全体を照合してください。日本での提供は発表には書かれていません。
影響する会社・しない会社
- 影響する: 上記のUbuntu各版でlibyaml-perlを導入している会社は、導入版と修正版の照合が必要です。細工したファイルを開くことが悪用のきっかけになるとされています。
- 影響する: Ubuntu 16.04 LTSまたは18.04 LTSで対象パッケージを使う会社は、ファイル削除と任意コード実行の2件についても確認が必要です。
- 影響しない: Ubuntu 16.04 LTSと18.04 LTS以外は、CVE-2017-20285とCVE-2019-25777の対象ではありません。ただし、今回の更新全体が不要という意味ではありません。
- 影響しない: Ubuntuやlibyaml-perlを使っていない環境は、今回示されたパッケージ更新の確認対象には含まれません。他のYAMLライブラリの影響有無は、発表には書かれていません。
情シスが今日やること
以下は社内対応の進め方です。発表で指定された適用期限ではありません。
- 今日の棚卸しで、IT資産台帳のOS欄から対象のUbuntu各版を抽出します。サーバーの管理担当者に、libyaml-perlの導入有無と導入版の確認を依頼してください。委託運用の環境は、委託先にも同じ情報の回答を求めます。
- 対象機のパッケージ管理画面や端末で、libyaml-perlの導入版と更新候補を確認します。上の一覧と照合し、対象機、Ubuntuの版、導入版、更新候補を記録してください。
- 棚卸し結果を運用担当者と業務システムの責任者に共有します。16.04 LTSと18.04 LTSではファイル削除・任意コード実行の問題も対象になることを伝え、更新予定日と作業担当者を決めてください。
- 更新後はlibyaml-perlの版を再確認し、利用している処理の動作を確認します。未更新の対象機は、理由と次の確認日を台帳に残し、対応済みの機器と区別して管理してください。
