RHELの複数部品に脆弱性 認証基盤やファイアウォールも

OSの土台として広く使われているRed Hat Enterprise Linux(RHEL)。そのRHELに含まれる複数の部品で脆弱性が見つかり、Red Hatが修正を公開しています。ドイツのCERT-Bundも、関連する注意喚起を更新しました。1件ずつは地味でも、社内の認証や防御に関わる部品が含まれており、まとめて確認しておきたい内容です。

認証基盤:ディレクトリサーバー(389-ds-base)

今回のなかで情シスがとくに注目したいのが、389-ds-baseです。これは、ユーザーやグループの情報を管理するディレクトリサーバー(LDAP)で、社内の認証の土台になります。

Red Hatは、SASLという認証のやり取りを通じて**メモリ破壊(ヒープバッファオーバーフロー)**につながる脆弱性(CVE-2026-11610・CVE-2026-11774)を「重要(Important)」として修正しました(RHSA-2026:36198ほか、2026年7月)。認証基盤に関わるため、優先度は高めです。なお、同じディレクトリ機能を使うFreeIPA(IdM)についても別途脆弱性が公表されています。詳しくはRed HatのFreeIPAに複数の脆弱性 4.13.4で修正をご覧ください。

防御の設定:ファイアウォール(firewalld)

RHELのファイアウォールであるfirewalldにも、脆弱性(CVE-2026-4948・2026年9月)が見つかりました。設定を変更する内部のやり取りに認可の不備があり、ローカルの一般ユーザーが、ファイアウォールの設定を許可なく変更できる恐れがあります。深刻度はCVSS 5.5(中)で、ネットワーク越しでなくローカルからの操作が前提です。とはいえ、防御の設定そのものが狙われうる点は注意が必要です。

OS移行の落とし穴:leapp

RHEL 9から10へのアップグレードに使う移行ツールleappにも、脆弱性(CVE-2026-75092)が見つかりました。移行時の確認処理の一部が管理者(root)権限で動くため、特定の条件を満たす攻撃者が、管理者が移行作業を行うタイミングで権限昇格を狙える恐れがあります。RHEL 10への移行を計画している組織は、移行前にこの更新を確認しておきたいところです。

そのほかに修正された部品

同じ時期(2026年6〜9月)には、ほかの部品も修正されています。

• hplip(印刷): コマンドの注入などで権限昇格や任意コード実行につながる恐れ(CVE-2026-8631 / 8632)。
• tesseract(文字認識): 細工したデータファイルでメモリ破壊につながる恐れ(CVE-2026-73066)。
• openCryptoki(暗号): データの解釈の不備で情報漏えいやサービス停止につながる恐れ(CVE-2026-40253)。

影響する環境・しない環境

影響する: 対象の部品(389-ds-base / firewalld / leapp / hplip / tesseract / openCryptoki)を使っているRHEL環境。とくに、認証基盤(ディレクトリサーバー)や、インターネットに接する役割を持つサーバーは優先度が高めです。RHEL 10への移行を進めている組織は、leappの更新も確認が必要です。

影響しない・小さい: 該当する部品を使っていない環境。ただし、これらは定例のセキュリティ更新で配布されることが多いため、更新の適用状況は確認しておくと安心です。

情シスが今日やること

1. 使っている部品の棚卸し: 社内のRHELで、389-ds-base・firewalld・leapp・hplipなどを使っているかを確認する。
2. 影響の大きい部品から更新: 認証基盤(389-ds-base)、防御(firewalld)、移行予定ならleappを優先し、dnf/yumでパッチを適用する。
3. 移行計画の確認: RHEL 10への移行を予定しているなら、leappの更新を移行前に適用する。
4. 定例の更新に組み込む: 周辺部品も含め、セキュリティ更新を定期的に当てる運用にする。

一つひとつは小さな更新でも、認証や防御に関わる部品は、放置すると入り口になりえます。影響の大きいものから、確実に当てていきましょう。