2018年9月21日号　14.04 LTSへのExtended Security Maintenance提供、Hyper-V GalleryにおけるUbuntu 18.04.1 LTS

14.04 LTSへのExtended Security Maintenance提供決定

Ubuntu 14.04 LTSを、どうしても使い続けないといけないユーザーにとっては嬉しい知らせです。12.04 LTSに対して提供されている、「⁠サポートが切れたLTSバージョンへの継続サポートを提供する」サービス、Extended Security Maintenance（⁠“⁠ESM⁠”⁠）が、14.04でも提供される予定であることが発表されました。

これにより、2019年4月のEOLを迎えた後も、ESMを利用できる契約（Ubuntu Advantage）があれば、重要パッケージについてはセキュリティ更新を受け取る道が開かれたことになります。ただし、Ubuntu Advantageは有償のサービス契約となるため、もしも「2019年4月になっても16.04等への乗り換えの目処がたたない」サーバーが存在する場合は、Advantageの契約のための準備を始めるのが良いでしょう。

Hyper-V GalleryにおけるUbuntu 18.04.1 LTS

Windows10において、「⁠3回ほどのマウスクリックで」起動できる、「⁠仮想マシンのテンプレート集」として、Ubuntu 18.04.1 LTS正式版が利用できるようになりました。これは2018年3月9日号でお知らせした、Hyper-Vを利用する仮想マシン環境の正式版で、“⁠ESM⁠”（Enhanced Session Mode。注1）を利用できます。

Enhanced Session ModeはHyper-V上のゲストマシンに提供される機能拡張で、「⁠RDP/リモートデスクトップ接続を利用してゲスト環境に接続する」モードです。これにより、ゲスト環境にオーディオパススルーを提供したり、クリップボードをホスト＝ゲスト間でやりとりしたり、フォルダ共有を実現したりできます。

ESMのための設定は（特にLinuxでは！注2）比較的面倒な作業を要求するのですが、Hyper-V Galleryから起動できるUbuntu 18.04.1 LTSは、初期設定がすでに完了しています。Galleryから仮想マシンをブートしたら、あとはユーザー設定とタイムゾーン指定を行うだけで、非常に快適なUbuntu環境を利用できます。

WSL（いわゆる「Bash on Windows⁠」⁠）を含め、「⁠WindowsとUbuntuは仲良し」という世界がやってきました。

今週のセキュリティアップデート

usn-3759-1, usn-3759-2：libtirpcのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004566.html
https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004567.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS・12.04 ESM用のアップデータがリリースされています。CVE-2016-4429, CVE-2017-8779, CVE-2018-14622を修正します。
悪意ある入力を行うことで、DoSが可能でした。
対処方法：アップデータを適用の上、システムを再起動してください。

usn-3760-1：transfigのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004568.html
Ubuntu 16.04 LTS・14.04 LTS用のアップデータがリリースされています。CVE-2018-16140を修正します。
悪意ある加工を施したFIGファイルを処理させることで、任意のコードの実行が可能でした。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-3761-1：Firefoxのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004569.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS用のアップデータがリリースされています。CVE-2018-12375, CVE-2018-12376, CVE-2018-12377, CVE-2018-12378, CVE-2018-12383を修正します。
Firefox 62.0のUbuntuパッケージ版です。
対処方法：アップデータを適用の上、Firefoxを再起動してください。

usn-3762-1：Linux kernelのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004570.html
Ubuntu 18.04 LTS用のアップデータがリリースされています。CVE-2017-13695, CVE-2018-1118を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-3762-2：Linux kernel (HWE)のセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004571.html
Ubuntu 16.04 LTS用のアップデータがリリースされています。CVE-2017-13695, CVE-2018-1118を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-3763-1：Linux kernelのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004572.html
Ubuntu 12.04 ESM用のアップデータがリリースされています。CVE-2018-5390を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-3764-1：Zshのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004574.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS用のアップデータがリリースされています。CVE-2018-0502, CVE-2018-1100, CVE-2018-13259を修正します。
（環境によっては特に問題なく見える）悪意ある加工を施したスクリプトを実行させることで、任意のコードを実行させることが可能でした。
対処方法：アップデータを適用の上、zshのプロセスを再起動してください。

usn-3747-2：OpenJDK 10の再アップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004575.html
Ubuntu 18.04 LTS用のアップデータがリリースされています。
usn-3747-1において、アクセシビリティサポートを利用するアプリケーションの一部が動作しなくなっていました。
対処方法：アップデータを適用の上、Javaアプリケーションを再起動してください。

usn-3761-2, usn-3761-3：Firefoxの再アップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004576.html
https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004579.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS用のアップデータがリリースされています。
usn-3761-1において、スペルチェッカー・サーチエンジンに複数の問題が生じていました。
対処方法：アップデータを適用の上、Firefoxを再起動してください。

usn-3765-1, usn-3765-2：curlのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004577.html
https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004578.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS用のアップデータがリリースされています。CVE-2018-14618を修正します。
32bit環境において、きわめて非現実的なシチュエーションが満たされている場合にメモリ破壊を伴うクラッシュが生じる問題を修正します。理論上は任意のコードの実行が可能ですが、この問題の悪用を懸念するよりは他にやることがあるでしょう。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。なお、この問題を（多層防御の文脈以外で）現実的なリモートコード実行の危険と報告してくるセキュリティエンジニアやセキュリティスキャナ等が万が一にも存在してしまった場合、そちらのほうがより対処すべき問題である可能性があります。

usn-3722-5, usn-3722-6：ClamAV regression

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004580.html
https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004582.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS・12.04 ESM用のアップデータがリリースされています。
usn-3722-1で提供されたClamAVパッケージが、dpkg-reconfigure時に無限ループに陥る問題がありました。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-3766-1：PHPのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2018-September/004581.html
Ubuntu 18.04 LTS・16.04 LTS・14.04 LTS用のアップデータがリリースされています。CVE-2015-9253, CVE-2018-14851, CVE-2018-14883を修正します。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。