Canonical、XZ Utilsの脆弱性を修正 Ubuntuの更新確認を

Canonicalは2026年10月20日、XZ Utilsの脆弱性を修正する情報「USN-8945-1」を公開しました。細工された圧縮ファイルによって、サービスの停止や任意のコードの実行につながる恐れがあります。Ubuntuを管理する担当者は、OSの版と対象パッケージの更新状況を照合する必要があります。

圧縮ファイルの処理で不正なメモリー書き込みの恐れ

Canonicalによると、問題は特定形式のデコーダーを再初期化する際に発生します。デコーダーは、圧縮されたデータを元に戻す処理を担うものです。メモリーの割り当てに失敗したときの処理に不備があり、細工された圧縮ファイルを処理すると、不正なメモリー書き込みが起こり得ます。

悪用された場合、サービス拒否、つまりサービスを利用できなくする状態や、任意のコードの実行につながる恐れがあります。単に圧縮ファイルを開けなくなるだけの問題として扱わず、業務への影響を含めて更新を判断することが重要です。

修正対象は、liblzma5、xz-utils、xzdecの3パッケージです。確認時は「XZ Utils」という名称だけで探さず、この3つのパッケージ名を使って導入状況を調べます。

Ubuntuの版ごとに修正版を照合

発表に記載された修正版は次のとおりです。OSの版によって番号が異なるため、別の版向けの番号と比較しないようにします。

• Ubuntu 26.10：5.8.3-1ubuntu1
• Ubuntu 26.04 LTS：5.8.3-1ubuntu0.1
• Ubuntu 24.04 LTS：5.6.1+really5.4.5-1ubuntu0.4
• Ubuntu 22.04 LTS：5.2.5-2ubuntu1.2
• Ubuntu 20.04 LTS：5.2.4-1ubuntu1.1+esm2
• Ubuntu 18.04 LTS：5.2.2-1.3ubuntu0.1+esm2
• Ubuntu 16.04 LTS：5.1.1alpha+20120614-2ubuntu2.16.04.1+esm3
• Ubuntu 14.04 LTS：5.1.1alpha+20120614-2ubuntu2.14.04.1+esm3

日本での提供は発表には書かれていません。

更新の確認では、OSの版、パッケージ名、導入済みの版番号を一組で記録すると、対象の取り違えを防ぎやすくなります。長い版番号も省略せずに残し、上記の修正版と照合してください。

影響する会社・しない会社

• 影響する: 上記のUbuntuの版で、liblzma5、xz-utils、xzdecのいずれかを利用している会社です。該当する環境では、修正版が適用されているかを確認します。
• 影響する: 該当環境で圧縮ファイルを処理する業務を運用している会社です。細工されたファイルの処理が問題のきっかけとなるため、更新対象の把握と併せて、その処理を担う業務の担当者にも確認します。
• 影響しない: 列挙されたUbuntuの版と対象3パッケージの組み合わせを利用していない会社は、今回案内された修正版の適用対象には入りません。ただし、それ以外の環境に同じ脆弱性があるかどうかは、発表には書かれていません。

情シスが今日やること

1. 資産台帳でUbuntuの版と管理担当者を確認します。 今日の確認対象として、発表に列挙された版を使う機器・環境を抽出します。委託管理しているものは、委託先へOSの版と対象パッケージの導入状況を照会します。
2. 対象環境のパッケージ管理情報を確認します。 liblzma5、xz-utils、xzdecそれぞれの導入有無と版番号を記録し、対応するUbuntuの修正版と照合します。OSの版だけを見て確認を終えないことが大切です。
3. 更新が必要な環境を業務担当者に知らせます。 対象機器、圧縮ファイルを扱う処理、更新作業の担当者を共有します。適用期限は発表には書かれていないため、今日中に社内の確認期限と更新予定を決める進め方を勧めます。
4. 適用後は版番号で完了を確認します。 作業担当者から対象3パッケージの更新結果を受け取り、資産台帳や対応記録に残します。対象外、更新済み、未対応を分け、未対応の環境には担当者と次の確認日を設定してください。