Ubuntu 22.04 その358 - Ubuntu 20.04 LTSとUbuntu 22.04 LTSのライブメディアの更新を

ライブメディアの更新を

Ubuntuに限らずLinuxでは、UEFI環境でOSを起動する仕組みに大きな変更があり、古いライブメディアではOSを起動できなくなります。

SBAT Revocations: Boot Process

直接影響を受けるのはUEFIセキュアブート

UEFI環境ではUEFIセキュアブートという仕組みがあり、モダンなPCやOSではOS起動時に、UEFIセキュアブートによるソフトウェアの検証が行われます。
検証に失敗した場合そのソフトウェアは不正なソフトウェアと見做され、OSの起動や不正なソフトウェアの読み込みが阻止されます。

Windows 11のシステム要件ではUEFIセキュアブートが必須になっており、UEFIセキュアブートの存在を知っているユーザーも多いのではないでしょうか。
この仕組み自体は特定のOSに依存する仕組みではありません。

そのためUEFIセキュアブートが有効な環境でOSを起動できるようにするには、OS側でUEFIセキュアブート対応が必要になります。

さてその仕組みの根本で利用されているLinux側のソフトウェアに「shim」と呼ばれるソフトウェアがあります。

shim 15.7から古い仕組みが無効になる

致命的な脆弱性に対応したセキュリティーアップデートを提供するため、従来「shim」が利用していたUEFIセキュアブート対応の仕組みがデフォルトで無効になりました。
この古い仕組みの無効化は「shim 15.7」から適用されます。

shim-signed (1.51.3) jammy; urgency=medium

[ dann frazier ]
* Fix arm64 issues due to hardcoding "x64" as the EFI architecture.
    (LP: #2004208)
* is-not-revoked: Support vmlinux.gz files as used on arm64.
    (LP: #2004201)

-- Julian Andres Klode <juliank@ubuntu.com> Tue, 31 Jan 2023 12:57:37 +0100

shim-signed (1.51.1) jammy; urgency=medium

* New upstream version 15.7 (LP: #1996503)
    - SBAT level: shim,3
    - SBAT policy bumped to for grub,2 in previous and grub,3 in latest:
      SBAT policy: latest="shim,2\ngrub,3\n" previous="grub,2\n"
* SECURITY FIX: Buffer overflow when loading crafted EFI images.
      - CVE-2022-28737
* debian/control: Depend on new grub versions (1.191 on lunar+, 1.187.2 elsewhere)
* Break fwupd-signed signed with old keys
* Check for revoked fb,mm binaries in build, grubs, fwupd in autopkgtest
* Install both previous and latest shim as alternatives. On secure boot
    systems, if the current kernel or any newer one is revoked, the previous
    shim will continue to be used until current kernel and all newer ones
    are signed with a non-revoked key.

-- Julian Andres Klode <juliank@ubuntu.com> Thu, 26 Jan 2023 13:03:25 +0100

古いライブメディアでOSが起動できなくなる

古いライブメディアでは古い仕組みが利用されており、「shim 15.7」にアップデートした環境では、ライブメディアからUbuntuを起動できなくなります。

ライブメディアの更新を

というわけでUEFIセキュアブート環境でPCを利用しており、「Ubuntu 20.04.5 LTS」以前のライブメディアや、「Ubuntu 22.04.1 LTS」以前のライブメディアを利用している場合、これらのライブメディアは新しいバージョンのディスクイメージから作成し直す必要があります。
ちなみに公式フレーバーも同様です。

LTSリリースのUbuntuではポイントリリースが設定されており、約半年ごとにポイントリリースがリリースされます。
ユーザーの中には一度ライブメディアを作成した後、ポイントリリースがリリースされても、そのままライブメディアを更新せずに利用しているユーザーもいるかと思います。