にゃんでもハンプティ

こないだのLinuxカーネル（TCPのUAF）の件とは違って「全員関係ある」わけではないけど、対象のインフラを組んでいる人にとっては背筋が凍るCVSS 10.0（満点）の脆弱性が出た。 UbuntuのCanonical社が開発するコンテナ・仮想マシン基盤「LXD」の脆弱性（CVE-2026-112816）。 何が起きているかというと、管理API（HTTPS）におけるTLSクライアント証明書の検証ロジックに致命的な穴があったらしい。 このせいで、本来は正規のクライアント証明書を厳密に照合してアクセスを許可すべきところ、攻撃者が細工した証明書チェーンを投げつけるだけで「信頼されたクライアント」として認証をすり抜けられてしまう。 パスワードも秘密鍵も不要で、公開証明書の情報を悪用されるだけで、配下の仮想マシンはもちろんホストサーバー自体のroot権限まで丸ごと掌握されかねない。 ⚫︎無関係な人: 普通のUbuntuデスクトップ、WSL2、Docker単体での開発環境など。LXDを動かしていなければ影響なし。 ⚫︎即対応が必要な人: 研究用サーバーや社内インフラなどでLXD（またはMicroCloud）を運用し、管理ポートをネットワーク公開している環境。 対応策 各LTS向けに修正版（4.0.15 / 5.0.11 / 5.21.9 / 6.10.1）がすでにリリースされている。Snapで導入している環境であれば、以下のコマンドで即座に更新が可能だ。 ⁠sudo snap refresh lxd⁠ 自前で仮想化基盤を運用している方は、APIポートの露出確認とあわせて早めのパッチ適用をおすすめします。 詳細・一次情報はこちら👇 cve.now/CVE-2026-112816

#ITエンジニアの食事 上握りとカキフライ（2000円） 高い寿司のネタは肉厚なのがいいね

CVE-2026-98432対応まとめ 前提として、Linuxディストリごとに評価がバラバラかつ攻撃事例もない状況なので、焦らなくて良い。 対応方針としては、基本はディストリ個別のパッチ適用に従う。まだパッチが出ていないなら待ち。 どうしてもパッチ適用前の暫定対応が必要なら、以下参照 🔳kernelパラメータで対処するケース ①Anthropicが提唱するPoCに関連するパラメータ # sysctl net.mptcp.enabled 0で無効、1で有効 無効になっていれば良い 有効な場合(稀なケースと思うが)、影響確認が必要 # ss -M -tlnp 現在動いているTCPソケットからMPTCPリスナーとして機能しているものを確認。何も出力されなければOK。出力された場合、運用影響を確認の上、該当プロセス停止を検討。 ② CVEの修正対象として挙げられているパラメータ # sysctl net.ipv4.tcp_migrate_req 0で無効、1で有効 無効になっていれば良い 有効な場合(これも稀と思うが)、影響確認が必要 🔳WAF等で対応するケース TCPのポリシーとして、TCPヘッダのMPTCPオプションが参照可能な製品なら理論上の対策は可能だが、Linuxディストリ側も汎用的な暫定対処は無いとしているため、非推奨。