歴史が変わる(かもしれない)新しい一歩が始まりました。LXDのパッケージ形式が,.debからsnapへ,切り替える予定が示されています(注1⁠)⁠。LXDは「snapに軸足を移しつつあるが,Ubuntuでは.debパッケージも保持されていた」というステータスにありましたが,これからは「snapが必須」というステータスに切り替わることになります。これは既存のUbuntu向けLXDを置き換えるものではなく,18.10での動きとなります。snapへの移行が完了しても「.debベースのLXDパッケージ」が削除されるわけではなく,「⁠snapパッケージ版LXDを呼び出すもの」として保持される予定です(注2)。各種コンテナの保存場所が変わること,依存関係を解決できるように措置する必要があること(LXDに依存しているパッケージが一定数存在します)といった点は順次解決される予定です。Serverにおける目玉機能の一つで,“⁠コンテナ技術ベースの仮想マシン⁠”を提供するソフトウェアユーティリティです。第521回を参照してください。注2あくまで「LXDがsnapに軸足を移す」というだけで,Ubuntu全体がsnapベースに移るというものではありません。現時点でデスクトップ環境を構成する一定のソフトウェアはsnapベースで利用可能な状態になりつつあるため,LXDと同じように,どこかの時点で大幅なスイッチが始まる可能性が見え隠れする状態になりつつあります。別名“⁠Foreshadow⁠”⁠,“⁠Foreshadow-NG⁠”⁠)が公表されました。攻撃としての特性や性質はSpectreと似通っており,「⁠カーネルが隔離しているメモリに格納されたデータを推定できる」というものです。Ubuntuでも対処が進められており,対応の概要とナレッジベースの整理が行われました。Ubuntuのユーザーが行うべきことは次の通りです。CPUマイクロコードを更新する(注3⁠)⁠。対処において注意すべき点として,「⁠サイドチャネル攻撃からの保護には,カーネル更新だけでなく,CPUマイクロコードを更新しなくてはならない場合がある」(⁠カーネルによる保護機能にマイクロコード更新によって追加される新しい命令が必要)という点があります。利用しているCPUにおいて,新しいマイクロコードが適切に提供されているかを確認してください(注4⁠)⁠。これらの対処とともに,そもそも「信頼できないコード」を,「⁠保護すべきデータ」が存在する場所で走らせないようにする対処も必要です。この方針はSpectre/Meltdown脆弱性が公表されてからの新しい常識とも言えるものですが,「⁠(⁠まだ公表されていないかもしれない新しい脆弱性によって)CPUによる保護が破られる可能性があるため,環境を適切に隔離する」という点を守るようにしましょう。ブラウザ上で動く(信頼できない広告サイトから配信されるかもしれない)JavaScript等は,Spectre/Meltdown騒動の際に一定の対処が行われたため,現状の常識では十分に隔離されており,サイドチャネル攻撃を通すことは難しい状態となっています。Multithreading)機能の有効・無効を制御するユーティリティを提供する,smt-snapパッケージがsnap形式でダウンロードできるようになっています。これを利用することで,再起動なしにSMT設定を変更することもできます。注3現在のCPUやマザーボードの構成では,CPUマイクロコードを更新する方法は大きく分けて3つ存在します。古典的な方法は「CPUベンダが出荷時に更新する」というものです。この方法は(⁠「⁠出荷時に」ということからもわかるように)気軽にできるものではないため,一般的にはほぼ利用されません。2つめの方法は「マザーボード側のUEFI(BIOS)に含まれるマイクロコードテーブルを更新し,起動時に更新する」というものです。これはマザーボード側のアップデートが行えれば比較的手軽に実現できます。3つ目がOSでマイクロコードを保持しておき,カーネルが起動してからなるべく早いタイミングで更新する,というもので,この10年程度でこの方法が支配的になりつつあります。CPU用のマイクロコード」はこの3つ目のアプローチに用いられるものです。2等から脆弱であり,“⁠L1TF⁠”ではじめて危険にさらされるわけではありません⁠)⁠。Spectre以降の常識として,CPUマイクロコードが更新されず,適切な保護が展開できない事態を防ぐために,ハードウェアを適切に乗り換えていく必要があります。RemixのRC版のテストを開始しています。LTS用のアップデータがリリースされています。CVE-2018-2952を修正します。悪意ある入力を行うことで,Javaアプリケーションをメモリ過大消費状態に陥らせることが可能でした。DoSに悪用できます。対処方法:アップデータを適用の上,Javaアプリケーションを再起動してください。備考:Upstreamのリリースをそのまま利用したパッケージです。非互換をもたらす変更が含まれている場合があります。LTS用のアップデータがリリースされています。CVE-2018-2952を修正します。悪意ある入力を行うことで,Javaアプリケーションをメモリ過大消費状態に陥らせることが可能でした。DoSに悪用できます。LTS用のアップデータがリリースされています。CVE-2018-14424を修正します。ローカルユーザーが特定の処理を実行させることで,解放済みのメモリへのアクセスを誘発することができました。任意のコードの実行につながるクラッシュを意図的に発生させることが可能です。対処方法:アップデータを適用の上,システムを再起動してください。LTS用のアップデータがリリースされています。CVE-2017-14503を修正します。悪意ある加工を施したアーカイブを処理させることで,クラッシュ・本来秘匿されるべき情報の漏出を誘発させることが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-1139を修正します。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-14567を修正します。悪意ある加工を施したXMLファイルを処理刺せることで,本来秘匿すべき情報の漏出,DoSの誘発が可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-5391への修正ないし緩和策を提供します。“⁠L1TF⁠”を含む複数の脆弱性の緩和策を含むアップデートです。“⁠L1TF⁠”への緩和策の利用にはCPUマイクロコードの更新が必要です。対処方法:アップデータを適用の上で,CPUマイクロコードを更新できる状態を整えた上でシステムを再起動してください。LTS用のアップデータがリリースされています。CVE-2018-5391への修正ないし緩和策を提供します。“⁠L1TF⁠”を含む複数の脆弱性の緩和策を含むアップデートです。“⁠L1TF⁠”への緩和策の利用にはCPUマイクロコードの更新が必要です。対処方法:アップデータを適用の上で,CPUマイクロコードを更新できる状態を整えた上でシステムを再起動してください。LTS向けの更新カーネルには,システムが起動不能になる問題がありました。LP#1787127を参照してください。ESM用のアップデータがリリースされています。CVE-2018-5391を修正します。“⁠L1TF⁠”を含む複数の脆弱性の緩和策を含むアップデートです。“⁠L1TF⁠”への緩和策の利用にはCPUマイクロコードの更新が必要です。対処方法:アップデータを適用の上で,CPUマイクロコードを更新できる状態を整えた上でシステムを再起動してください。備考:ABIの変更を伴いますので,カーネルモジュールを自分でコンパイルしている場合は再コンパイルが必要です。linux-ubuntu-modulesなど)は依存性により自動的にアップデートされるため,通常はそのままアップデートの適用を行えば対応できます。ESM用のアップデータがリリースされています。CVE-2017-7526を修正します。ESM用バージョンです。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-10925を修正します。対処方法:通常の場合,アップデータを適用することで問題を解決できます。備考:Upstreamのリリースをそのまま利用したパッケージです。非互換をもたらす変更が含まれている場合があります。LTS用のアップデータがリリースされています。CVE-2018-4284を修正します。対処方法:アップデータを適用の上,WebKitGTK+を利用しているアプリケーションを再起動してください。ESM用のアップデータがリリースされています。CVE-2018-1125を修正します。ESM用バージョンです。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-14526を修正します。対処方法:アップデータを適用の上,システムを再起動してください。悪意ある加工を施したメッセージを受信させることで,本来秘匿されるべき情報を漏出させることが可能でした。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-0501を修正します。mirror://メソッドを利用している場合に,悪意あるサーバーから,もしくはMiTM攻撃を行われた場合に,改変されたパッケージを検知できない場合がありました。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-2972を修正します。対処方法:通常の場合,アップデータを適用することで問題を解決できます。LTS用のアップデータがリリースされています。CVE-2018-6557を修正します。MOTDを更新するスクリプトに,古典的symlink攻撃を許す問題がありました。restrictionを提供しているためこれを利用して特権を奪取することはできませんが,DoSとして機能させることができます。対処方法:通常の場合,アップデータを適用することで問題を解決できます。Unixを併用している。Teamではパッケージサーバの管理や翻訳などの作業を担当。2019」を開催しました。DAY1・DAY2の様子を注目セッションとともにお伝えします。LINEのエンジニア3名がイベントに先駆けて見どころを紹介します。コードの安全性・安定性を高める開発サイクル~テスト管理の効率を上げ,脆弱性診断を自動で行う~本連載では,連載「業務を改善する情報共有の仕掛け」を受けつつ,安全性・安定性を加えた開発サイクルについて考えていきます。若者世代から圧倒的な人気を誇るライブ配信&動画投稿コミュニティアプリ「MixChannel」(ミクチャ)の裏側(レコメンドシステムやサーバサイド開発など)について解説していきます。その他の連載CSS3アニメーションでつくるインターフェイス表現CSS3によるアニメーション表現を紹介していきます。その中でも,幅広い読者に応用してもらえるだろうインターフェイスを主なお題とします。MySQL道普請便り本連載では,MySQLを使ったアプリ開発・運用に関するノウハウをご紹介していきます。RecipeUbuntuの強力なデスクトップ機能を活用するための,いろいろなレシピをお届けします。JavaScriptセキュリティの基礎知識JavaScriptに関するセキュリティ上の問題はどこで発生し,どうすれば防ぐことができるのか?について解説していきます。〜システムをきちんと運用するための基礎知識システムは「作って終わり」ではなく,運用の中でさまざまな問題が発生します。問題の発生に備えて事前にどのような対応をしておくべきなのか,問題発生時に何をしなければならないのか,ポイントを解説していきます。きたみりゅうじの聞かせて珍プレーソフトウェア開発の現場で体験したトホホな失敗,思わずうなる珍プレーをきたみりゅうじ氏が四コママンガで紹介。Linuxのメンテナンスの傍ら,Linuxやオープンソースソフトと日々を過ごす著者が,その魅力とつきあい方を,エッセイ風味でお届けします。PRESS特別編集部員,さわやか笑顔のスーパーハカーはまちちゃんとネット大好き14歳わかばちゃんが,毎号,読者の皆さんから寄せられたおたよりを紹介します。皆さんの日頃の悩みにも答えちゃいますよ。]メールでのお知らせメールで次の案内をお送りしております。メールの配信を希望する方は,利用したい項目をチェックしてメールアドレスを入力し,[登録]ボタンをクリックしてください。UPDATES[ほぼ週間に1回]新刊メールマガジン[ほぼ週間に1回]電脳会議の各号案内[ほぼ1ヵ月半に1回]※変更する場合や停止する場合は,登録情報変更ページをご覧ください。※登録いただいたメールアドレスには,そのお知らせ以外,配信いたしません。Ltd.ページ内容の全部あるいは一部を無断で利用することを禁止します。個別にライセンスが設定されている記事等はそのライセンスに従います。