Ubuntu 23.10（mantic）の開発 / Ubuntu Testing Weekと仕様の取捨選択、『Inception』に対するUbuntuの対応

mantic（Ubuntu 23.10の開発） / Ubuntu Testing Weekと仕様の取捨選択

バケーションシーズンで開発の勢いがやや落ちる中、Ubuntu Testing Weekが開催されています。Testing Weekはその名の通り「現時点でのISOイメージ」を用いたQAテストを行い、大きな問題がないか叩き出しを行うためのもので、コミュニティのボランティアを中心にテストが行われます。ここで見つけられた問題はLaunchpad上のバグトラッカーに登録され、致命的なものであればリリースまでの修正を目指す、という流れで作業が行われていきます。

一方、Feature Freezeを過ぎたことで各種機能の取捨選択も開始されています。たとえばCUPSのsnap版は今回のリリースでは取り下げられており、これまでと同様の.debパッケージによる提供に切り戻されることになりそうです。逆にLibreOffice 7.6のためのException Requestを始めとして、「⁠予定されていた例外」[1]は順調に処理されていこうとしています。

これらの動きと並行して、Ubuntu Desktopのこれまでと長期的な狙いと23.10での目標マイルストーン群が投稿されています。Ubuntu Desktopの使われている範囲の説明だけでなく、利用可能なデバイスについて「Ubuntu 23.10: This one we’re keeping quiet about for now, stay tuned!」（⁠＝「これは今の時点ではまだ黙っておきます、お楽しみに！⁠」⁠）と記載されていたり、あるいはアプリケーションごとのプライバシー設定やフルディスク暗号化についての言及があったりと、「⁠まだ投入されていない隠し球」[2]についての記載も含まれています。manticのリリースまで、まだまだ波乱がありそうです。

[1] LibreOffice 7.6は8月21日にリリースされたばかりで、manticの開発ではもともとのプランとして「Feature Freezeには間に合わないので、Feature Freeze後にExceptionプロセスを通す」前提となっていました。こうした「Ubuntuのリリーススケジュール上、どう考えてもリリースタイミングがFeature Freezeに間に合わない」タイプのソフトウェアは常に一定数存在しており、UbuntuのFeature Freezeはこうしたものを織り込んでいます（代表的な例はOpenStackで、「⁠OpenStackのGAリリースはおおむねUbuntuのリリース直前」というタイミングになるため、リリース時点ではRC版を導入しておき、後にSRUプロセスを通してGAバージョンに差し替える、という処理が行われています⁠）⁠。

『Inception』に対するUbuntuの対応

AMD製CPUに発見されたInception脆弱性へのUbuntuでの対応が準備されました。Inceptionは投機的サイドチャネル攻撃の典型例で、要するに「AMD製CPUで機能するSpectreの亜種」という性質のものです。

基本的な対応はCPUの脆弱性が発見された場合と同じで、DownfallやZenbleedへのものと同様、「⁠対応できるマイクロコードがリリースされていればそれを適用する」というものです。現時点では第三世代、第四代EPYC向けのマイクロコードだけがリリースされており、Ubuntuでの対応パッケージ（amd64-microcode）もこれら向けのものとなっています。なお、Ubuntu 14.04はまだESMによる延長サポート期間中ですが、「⁠第三世代EPYC＋Ubuntu 14.04という組み合わせで利用しているユーザーの存在は現実的に考えがたい」ということでUbuntu側では対応しない、という判断となっています[3]。他のプロセッサ（主に民生用のデスクトップやモバイル向け）の場合は順次AGESAファームウェアのリリースを待って、ハードウェア側のファームウェアを更新していく、という形になります。

その他のニュース

Lunar（23.04）以降搭載されたカーネルのRustサポートの基本的な利用法について。

今週のセキュリティアップデート

usn-6304-1：Inetutilsのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007628.html
Ubuntu 23.04・22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2022-39028, CVE-2023-40303を修正します。
悪意ある入力を行うことで、DoS・本来秘匿されるべき情報へのアクセス・任意のコードの実行が可能でした。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-6305-1：PHPのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007629.html
Ubuntu 23.04・22.04 LTS用のアップデータがリリースされています。CVE-2023-3823, CVE-2023-3824を修正します。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-6306-1：Fast DDSのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007630.html
Ubuntu 23.04・22.04 LTS（Ubuntu Proのみ）用のアップデータがリリースされています。CVE-2021-38425, CVE-2023-39534, CVE-2023-39945, CVE-2023-39946, CVE-2023-39947, CVE-2023-39948, CVE-2023-39949を修正します。
悪意ある入力を行うことで、DoS・本来秘匿されるべき情報へのアクセスが可能でした。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-6307-1：JOSE for C/C++のセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007631.html
Ubuntu 23.04・22.04 LTS・20.04 LTS・18.04 ESM用のアップデータがリリースされています。CVE-2023-37464を修正します。
悪意ある入力を行うことで、DoSが可能であるとともに、本来秘匿されるべき情報へのアクセスが可能な疑いがあります。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-6308-1：Libqbのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007632.html
Ubuntu 23.04・22.04 LTS用のアップデータがリリースされています。CVE-2023-39976を修正します。
悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
対処方法：通常の場合、アップデータを適用することで問題を解決できます。

usn-6309-1：Linux kernelのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007633.html
Ubuntu 16.04 ESM・14.04 ESM用のアップデータがリリースされています。CVE-2023-2269, CVE-2023-2985, CVE-2023-31084, CVE-2023-3567, CVE-2023-3611, CVE-2023-3776を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6310-1：json-cのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007634.html
Ubuntu 22.04 LTS用のアップデータがリリースされています。CVE-2021-32292を修正します。
悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
対処方法：アップデータを適用の上、システムを再起動してください。

usn-6311-1：Linux kernelのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007635.html
Ubuntu 22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2022-4269, CVE-2022-48502, CVE-2023-0597, CVE-2023-1611, CVE-2023-1855, CVE-2023-1990, CVE-2023-2002, CVE-2023-2124, CVE-2023-2163, CVE-2023-2194, CVE-2023-2235, CVE-2023-2269, CVE-2023-23004, CVE-2023-28466, CVE-2023-30772, CVE-2023-3141, CVE-2023-32248, CVE-2023-3268, CVE-2023-33203, CVE-2023-33288, CVE-2023-35823, CVE-2023-35824, CVE-2023-35828, CVE-2023-35829を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6312-1：Linux kernelのセキュリティアップデート

https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-August/007636.html
Ubuntu 20.04 LTS・18.04 ESM用のアップデータがリリースされています。CVE-2020-36691, CVE-2022-0168, CVE-2022-1184, CVE-2022-27672, CVE-2022-4269, CVE-2023-0590, CVE-2023-1611, CVE-2023-1855, CVE-2023-1990, CVE-2023-2124, CVE-2023-2194, CVE-2023-28466, CVE-2023-30772, CVE-2023-3111, CVE-2023-3141, CVE-2023-33203を修正します。
対処方法：アップデータを適用の上、システムを再起動してください。
備考：ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ（標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど）は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。