RHELで4パッケージに更新 bubblewrap・pgvectorなど6件

Red Hatは2026年10月19日、Red Hat Enterprise Linux(RHEL)のbubblewrap、pcs、resteasyの更新を出しました。10月20日には、RHEL 9のpgvectorの更新も出ています。直した脆弱性は合わせて6件で、ドイツのCERT-Bundも10月19日に、深刻度「高」の注意情報(WID-SEC-2026-4029)を出しました。

ただし、RHEL 10のpgvectorは、10月20日時点でまだ直っていません。この記事の内容は、10月20日にRed HatのCVEのページとセキュリティアドバイザリで確かめたものです。

bubblewrap サンドボックスの外にファイルを書かれる

bubblewrapは、権限を持たない利用者がサンドボックス(隔離した実行環境)を作るための道具です。Flatpakなどのアプリの配布の仕組みが使っています。

CVE-2026-87766は、サンドボックスを準備する途中で、外の場所にファイルやフォルダーを作られる脆弱性です。新しいルートの下に作るとき、シンボリックリンクをたどって、起動した利用者の権限でホスト側に書き込まれます。サンドボックスの中のプログラムが動き出す前に起きます。CVSSは8.8で、Red Hatの深刻度は重要(Important)です。

Red Hatは10月19日、RHEL 8・9・10と、それぞれの延長サポートの系列向けに、直したパッケージを出しました。開発元では0.12.0で直っています。直すまでの対策として、Red Hatは、信頼できないFlatpakを入れないこと、直していないbubblewrapで信頼できない内容のファイルを作らないことを挙げています。

pgvector RHEL 10はまだ直っていない

pgvectorは、PostgreSQLでベクトル検索をするための拡張機能です。生成AIの検索の仕組み(RAG)などで使われます。

CVE-2026-103484は、IVFFlatという種類の索引を作るとき、データベースの利用者が範囲の外にデータを書き込める脆弱性です。任意のコードの実行につながる恐れがあります。CVSSは8.8で、開発元では0.8.7で直っています。

Red HatのCVEのページでは、RHEL 9のpostgresql:16と:18のモジュールは10月20日に直りました(RHSA-2026:85791、RHSA-2026:85814)。一方、RHEL 10のpostgresql16-pgvectorとpostgresql18-pgvectorは「Affected(影響あり)」のままです。

Red Hatは、直るまでの対策として、信頼できないデータベースのアカウントが索引を作れないよう、スキーマを作る権限を絞ることを挙げています。ベクトルの索引が要らなければ、pgvectorを外す方法も示しています。

pcs Tornadoの2件を直した

pcsは、Pacemakerのクラスターを設定する道具です。中にPythonのWebの部品Tornadoを含んでいて、今回はこのTornadoの2件を直しました。

• CVE-2024-14029(CVSS 7.5): 重複したTransfer-Encodingのヘッダーを無視するため、プロキシの後ろに置いたとき、HTTPリクエストスマグリング(要求のすり替え)に使われる恐れがあります。アクセス制御のすり抜けなどにつながります。
• CVE-2026-82397(CVSS 7.5): フォームの項目の数に上限がなく、大量の項目を送られるとサービスが止まる恐れがあります。

10月19日の更新は、RHEL 8と、その延長サポートの系列向けです。RHEL 9と10のpython-tornadoの修正は、2024年12月から2026年9月にかけて出ています。Red Hatは、前段のプロキシで重複したヘッダーを持つ要求を止めること、要求の大きさや項目の数を絞ることを、対策として挙げています。

resteasy CORSの設定とメモリの使い切り

resteasyは、JavaでREST APIを作るための部品です。RHEL 9向けに、10月19日に直したパッケージが出ました。

• CVE-2026-89058(CVSS 7.4、Moderate): CORSで全てのオリジンを許す設定(「*」)にすると、要求のOriginをそのまま返し、認証情報の付いた要求も許してしまいます。悪意のあるサイトから、利用者のセッションで認証つきの応答を読まれる恐れがあります。
• CVE-2026-89059(CVSS 7.5): 画像を受け取る部品が、画像の大きさの上限を確かめません。小さな細工した画像でメモリを使い切らせ、サービスを止められる恐れがあります。

Red Hatのページでは、Red Hat Build of KeycloakやRed Hat Certificate Systemなど、resteasyを含むほかの製品にも影響があるとしています。製品ごとの修正の状況は、それぞれのページで確かめる必要があります。

影響する会社・しない会社

• 影響する: RHEL 8・9・10を使い、bubblewrap、pcs、resteasy、pgvectorのいずれかが入っている会社です。更新を当てる必要があります。
• 影響する: RHEL 10でpgvectorを使っている会社です。10月20日時点で修正が出ていないため、データベースの権限を絞る対策が先に要ります。
• 影響する: Pacemakerのクラスターを運用している会社です。pcsのWeb画面を外から使える構成になっていないかも確かめます。
• 影響しない: RHELを使っていない会社は、今回のRed Hatの更新の対象ではありません。ただし、ほかのLinuxでも同じ部品を使っていれば、それぞれの配布元の情報を確かめます。

情シスが今日やること

1. RHELのサーバーで、bubblewrap、pcs、resteasy、pgvectorが入っているかを、パッケージの一覧で確かめます。委託先が運用しているサーバーも含めます。
2. 入っているサーバーは、dnfで更新を当てます。pcsやresteasyを使うサービスは、更新のあとに再起動して、新しい版が動いていることを確かめます。
3. RHEL 10でpgvectorを使っているデータベースは、スキーマを作る権限を持つアカウントを洗い出し、信頼できないものから外します。Red Hatの修正が出たら、すぐに当てる担当を決めます。
4. resteasyを使うJavaのアプリは、CORSの設定で全てのオリジンを許しつつ、認証情報も許していないかを開発担当に確かめてもらいます。
5. 社員のLinuxの端末でFlatpakを使っている場合は、信頼できる配布元のアプリだけを入れるよう伝えます。