Canonical、zlibの脆弱性修正を告知、Ubuntuの版別に更新確認を

Canonicalは、データ圧縮ライブラリ「zlib」の脆弱性修正を、セキュリティ告知「USN-8954-1」で案内しました。悪用されると、サービスの停止や攻撃者による任意のコード実行につながる恐れがあります。Ubuntuの版ごとに修正版が異なるため、利用中のOSとパッケージの版を組み合わせて確認する必要があります。

特定の書き込み処理に不備、システム更新で対処

zlibは、圧縮したデータを元どおりに戻せる「可逆データ圧縮」のライブラリです。今回の脆弱性はAli Firas氏が発見しました。

Canonicalによると、不備があるのは特定の非ブロッキング書き込み処理です。攻撃者が、メモリー上の領域を超えてデータを書き込む「ヒープバッファオーバーフロー」を起こす恐れがあります。その結果、サービスを利用できなくするサービス拒否や、任意のコード実行につながる可能性があります。

対処方法は、指定された修正版へのシステム更新です。今回の資料には、告知の公表日や、更新を完了すべき期限は記載されていません。以下の確認手順は、発表元が指定した期限ではなく、社内で更新判断を進めるための提案です。

Ubuntuごとの修正版を照合する

告知で示されたzlib1gの修正版は、次のとおりです。

• Ubuntu 26.10：1:1.3.dfsg+really1.3.2-3ubuntu1.1
• Ubuntu 26.04 LTS：1:1.3.dfsg+really1.3.1-1ubuntu3.2
• Ubuntu 24.04 LTS：1:1.3.dfsg-3.1ubuntu2.3

確認時は「zlibを使っているか」だけで終わらせず、Ubuntuの版とzlib1gの導入版をセットで記録してください。異なるUbuntu向けの修正版を、同じ基準として照合しないことが大切です。

日本での提供は発表には書かれていません。資料には上記のUbuntu向け修正版が示されていますが、日本向けの提供条件についての記載はありません。

影響する会社・しない会社

• 影響する: Ubuntu 26.10、26.04 LTS、24.04 LTSでzlib1gを利用している会社は、今回示された修正版との照合が必要です。利用しているだけで悪用が成立すると断定せず、まず更新状況を確認します。
• 影響する: 対象環境の運用を外部に委託している会社も、委託先にOSとパッケージの版、更新予定を確認する対象になります。自社で更新作業をしない場合も、確認先を決めてください。
• 影響しない: と判断できる他のOSやUbuntuの版、アプリケーションの条件は、今回の資料には書かれていません。上記の一覧にないことだけを理由に、影響なしとは判断しないでください。

情シスが今日やること

1. 今日の確認対象として、IT資産台帳からUbuntuを使う機器・環境を抽出します。26.10、26.04 LTS、24.04 LTSに分け、管理担当者と委託先の連絡先を整理してください。
2. 各環境のOS情報と、パッケージ管理で確認できるzlib1gの導入版を記録します。上記の修正版と照合し、「確認済み」「更新が必要」「未確認」を分けます。資料に管理画面名や操作手順はないため、社内の運用手順に沿って確認してください。
3. 更新が必要な環境は、システム担当者と業務責任者に、サービス停止や任意コード実行の恐れを伝えます。今日のうちに更新担当者を決め、実施日と業務への影響確認の予定を調整してください。
4. 更新後はzlib1gの版を再確認し、対象業務が動くことを担当者と確認します。確認結果を台帳に残し、未更新の環境は理由と次の対応日を記録してください。