Ubuntu Weekly Topics

Ubuntu 24.04(noble)開発⁠FreeRDPとOpenSSLのバージョンの検討

noble(Ubuntu 24.04)の開発・FreeRDPとOpenSSLのバージョンの検討

nobleの開発は、ホリデーシーズンが近いことからも、全体的に「来年どのような作業に取りかかるか」の検討が中心に進められています。ひとつ明確な動きとして、FreeRDPのバージョンの選定が行われています。

FreeRDPはWindowsで利用されるリモートデスクトッププロトコルのオープンソース版実装で、現在の事実上の標準ソフトウェアとなっています。UbuntuでもこのFreeRDPを軸としたRDPサポートが構成されています。このFreeRDPは、現在3系の開発が進められています。

FreeRDP 3系はちょうど今BetaやRCが展開されている段階で、⁠それほど遠くない未来」にリリースされるであろう、というステータスにあります。おそらくnobleがリリースされるタイミング(そして、nobleが利用される5+5年のあいだ)においては、Linux版のRDP実装としてデファクトスタンダードの位置に付くことになるでしょう。

しかし現時点ではまだリリースされておらず、3.x系は内部構造のそれなりの変更が行われており、2.x系が『枯れた』バージョンとして利用されています。つまり、安易に3系を採用することにはそれなりのリスクがある一方、⁠どう考えても2.x系が5年、あるいは10年先まで利用されているとは思えない」ということです。

さらにFreeRDPには周辺ライブラリ等もあり、これらが3系に適合することを待つ必要もあります。どのようなトレードオフを受け入れるべきか、という点にかなり議論の余地がある状態です。

開発者の、これらを踏まえた現時点での思惑としては、⁠mainに採用するのは3系、2.x系もuniverse側には残す」というものとなっています。これはあくまで「仮」の目論見であり、FreeRDP側のリリースの状況なども見つつ決定されることになるでしょう。

これに類似した「現時点でどうするべきか」という検討に、mantic(23.10)から続けられている議論として「OpenSSLのバージョン」という課題もあります。現状ではまだ明確な結論には至っていないものの、LTSではないバージョンのOpenSSLを、UbuntuのLTSで採用するべきではないよねという方向のコンセンサスは形成されつつある(しかし結論までは至っていない)状態です。

「ESMを含めて、10年のあいだサポートを提供する」という目的のためには、開発時点で十分な検討が必要といえそうです。

その他のニュース

  • LTSにおいて、オリジナルのカーネルとHWEカーネルのどちらを使えばいいのか、という質問とそれに関するやりとり⁠Desktopでは暗黙でHWEが、Serverではオリジナルのカーネルが使われるよ」⁠必要に応じて切り替えができるよ」⁠テスト期間中に試してバグだしが出来れば直しうるよ」という、Ubuntu的には「あるある」な情報が改めて示されています。
  • Minis Forum N33にUbuntuをインストールしてみたというblogシリーズ。Minis Forum N33は日本国内でも入手可能な小型のPCです。MaaSなどのUbuntu特有のテクノロジーやPreseedなど、⁠サーバーとして使う」ためのノウハウが示されることになりそうです[1]
  • microCephを用いて、ローカルな分散ストレージ環境を簡単に作る方法。

今週のセキュリティアップデート

usn-6508-2:popplerの再アップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007917.html
  • Ubuntu 18.04 ESM用のアップデータがリリースされています。
  • usn-6508-1の適用後、PDFファイルの結合等の操作が正常に動作しなくなっていました。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6522-1:FreeRDPのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007918.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2022-41877, CVE-2023-39352, CVE-2023-39356を修正します。
  • 悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。また、悪意ある操作により、本来秘匿されるべき情報へのアクセスが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6521-1:GIMPのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007919.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2022-30067, CVE-2022-32990, CVE-2023-44441, CVE-2023-44442, CVE-2023-44443, CVE-2023-44444を修正します。
  • 悪意ある加工を施したファイルを処理させることで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6523-1:u-boot-nezhaのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007920.html
  • Ubuntu 23.04・22.04 LTS用のアップデータがリリースされています。CVE-2022-2347, CVE-2022-30552, CVE-2022-30790を修正します。
  • 悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6524-1:PyPyのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007921.html
  • Ubuntu 22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2022-37454を修正します。
  • 悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6525-1:pysha3のセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007922.html
  • Ubuntu 22.04 LTS・20.04 LTS用のアップデータがリリースされています。
  • 悪意ある入力を行うことで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6519-2:EC2 hibagent update

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007923.html
  • Ubuntu 16.04 ESM用のアップデータがリリースされています。
  • IMDSv2に対応するアップデートです。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6526-1:GStreamer Bad Pluginsのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007924.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2023-37329, CVE-2023-40474, CVE-2023-40475, CVE-2023-40476, CVE-2023-44429, CVE-2023-44446を修正します。
  • 悪意ある加工を施したファイルを処理させることで、メモリ破壊を伴うクラッシュを誘発することが可能でした。任意のコードの実行・DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6527-1:OpenJDKのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007925.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS・18.04 ESM用のアップデータがリリースされています。CVE-2023-22025, CVE-2023-22081を修正します。
  • 悪意ある入力を行うことで、DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6528-1:OpenJDK 8のセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007926.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS・18.04 ESM・16.04 ESM用のアップデータがリリースされています。CVE-2022-40433, CVE-2023-22025, CVE-2023-22067, CVE-2023-22081を修正します。
  • 悪意ある入力を行うことで、DoSが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

usn-6496-2:Linux kernelのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007927.html
  • Ubuntu 22.04 LTS・20.04 LTS用のアップデータがリリースされています。CVE-2023-25775, CVE-2023-31085, CVE-2023-45871を修正します。
  • 対処方法:アップデータを適用の上、システムを再起動してください。
  • 備考:ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ(標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6494-2:Linux kernelのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007928.html
  • Ubuntu 18.04 ESM・16.04 ESM・14.04 ESM用のアップデータがリリースされています。CVE-2023-31085, CVE-2023-39189, CVE-2023-39192, CVE-2023-39193, CVE-2023-39194, CVE-2023-42754, CVE-2023-45862, CVE-2023-45871, CVE-2023-5717を修正します。
  • 対処方法:アップデータを適用の上、システムを再起動してください。
  • 備考:ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ(標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6495-2:Linux kernelのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007929.html
  • Ubuntu 20.04 LTS・18.04 ESM用のアップデータがリリースされています。CVE-2023-31085, CVE-2023-45871を修正します。
  • 対処方法:アップデータを適用の上、システムを再起動してください。
  • 備考:ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ(標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6502-4:Linux kernelのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-November/007930.html
  • Ubuntu 23.04・22.04 LTS用のアップデータがリリースされています。CVE-2023-25775, CVE-2023-31085, CVE-2023-45871, CVE-2023-5090, CVE-2023-5345を修正します。
  • 対処方法:アップデータを適用の上、システムを再起動してください。
  • 備考:ABIの変更を伴いますので、カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。カーネルモジュール関連のパッケージ(標準ではlinux-restricted-modules, linux-backport-modules, linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため、通常はそのままアップデートの適用を行えば対応できます。

usn-6509-2:Firefoxの再アップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-December/007931.html
  • Ubuntu 20.04 LTS用のアップデータがリリースされています。
  • Firefox 120.0.1のUbuntuパッケージ版です。
  • 対処方法:アップデータを適用の上、Firefoxを再起動してください。

usn-6529-1:Request Trackerのセキュリティアップデート

  • https://lists.ubuntu.com/archives/ubuntu-security-announce/2023-December/007932.html
  • Ubuntu 23.10・23.04・22.04 LTS・20.04 LTS・18.04 ESM用のアップデータがリリースされています。CVE-2021-38562, CVE-2022-25802, CVE-2023-41259, CVE-2023-41260を修正します。
  • 悪意ある入力を行うことで、本来秘匿されるべき情報へのアクセスが可能でした。
  • 対処方法:通常の場合、アップデータを適用することで問題を解決できます。

おすすめ記事

記事・ニュース一覧