Canonicalは2026年10月12日、Ubuntu 22.04 LTS(jammy)向けのセキュリティ通知「USN-8914-1」を公開しました。Google Guest AgentとGoogle OS Config Agentに共通する脆弱性を修正しています。対象環境では、OSの版に加え、両エージェントの導入状況とパッケージの版を確認する必要があります。
ホスト名によるアクセス制御を回避される恐れ
問題があるのは、両エージェントに組み込まれたGo x/net/idnaというソフトウェア部品です。Canonicalによると、Punycodeラベルの処理で、ASCIIのみへ復号されるものを誤って受け入れます。
この処理の問題により、遠隔の攻撃者がホスト名を基準にしたアクセス制御を回避する恐れがあります。また、権限の昇格につながる恐れもあるとしています。権限昇格とは、本来認められていない強い権限を得ることです。
今回の確認対象は、Google Guest Agentだけではありません。Google OS Config Agentにも同じ問題があるため、片方の更新だけで対応完了と判断しないことが重要です。今回の資料は、脆弱性とその修正についての通知です。攻撃被害の発生については書かれていません。
修正版はパッケージごとに異なる
Canonicalは、修正版へのシステム更新で問題を解消できるとしています。Ubuntu 22.04 LTS向けの修正版は次のとおりです。
google-guest-agent：20250116.00-0ubuntu1~22.04.4google-osconfig-agent：20251028.00-0ubuntu2~22.04.1
製品名とパッケージ名は表記が異なります。資産台帳では製品名、更新記録ではパッケージ名になっている場合に備え、両方を確認項目に入れると照合しやすくなります。修正版の番号も別々なので、まとめて「Googleのエージェントは更新済み」と記録するより、パッケージ単位で結果を残す進め方を勧めます。
日本での提供は発表には書かれていません。日本固有の提供時期やリージョンについても、今回の資料からは確認できません。
影響する会社・しない会社
- 影響する: Ubuntu 22.04 LTS(jammy)でGoogle Guest Agentを使う会社です。
google-guest-agentの導入版と更新状況を確認する対象になります。
- 影響する: 同じUbuntuの版でGoogle OS Config Agentを使う会社です。
google-osconfig-agentも別に確認する必要があります。
- 影響しない: 両エージェントを導入していない環境は、今回示された2つのパッケージの更新対象には該当しません。ただし、同じ部品を使う別のソフトウェアの安全性まで示す発表ではありません。
- 影響不明: Ubuntu 22.04 LTS以外の版については、今回の資料だけでは影響の有無を判断できません。今回の対象に記載がないことを、安全の確認済みと扱わないでください。
情シスが今日やること
- 資産台帳でOSと担当者を絞ります。 Ubuntu 22.04 LTS(jammy)の環境を抽出し、運用担当者や委託先を確認します。台帳だけで導入ソフトウェアが分からなければ、担当者に両エージェントの有無を照会してください。
- 対象環境のパッケージ一覧を確認します。
google-guest-agentとgoogle-osconfig-agentを探し、それぞれの導入版を記録します。「未導入」と「まだ確認できていない」を分けて管理します。
- 運用担当者に修正版と対応期限を共有します。 上記のパッケージ名、修正版、アクセス制御の回避と権限昇格の恐れを伝え、更新作業の日程を決めます。発表には適用期限が書かれていないため、社内の対応期限として設定してください。
- 更新後の版を照合して完了を記録します。 修正版へのシステム更新後、導入されている各パッケージの版を確認します。作業の受付や実施報告だけで閉じず、確認結果と未対応の環境を台帳に残します。
