Ubuntu 24.04 その23 - xz/liblzmaに悪意ある実装とUbuntuへの影響（CVE-2024-3094）・βリリースを1週間延期

xz/liblzmaに悪意ある実装

アップストリームのXZプロジェクトで、機密情報を漏洩する悪意ある実装が見つかりました。

• Xz/liblzma security update
• CVE-2024-3094
  

 
悪意ある実装により攻撃者は、対象のマシンから機密情報を入手できるようになります。

既存のUbuntuへの影響

既存の「Ubuntu」は本脆弱性に影響を受けません。

• CVE-2024-3094

開発版Ubuntu 24.04 LTSへの影響

今までリリースされた「Ubuntu 24.04 LTS」のディスクイメージで、本脆弱性に影響を受けるディスクイメージはありません。

• Xz/liblzma security update (post #2)

proposedポケットは要注意

悪意ある「xz/liblzma」は2024年2月26日に「Ubuntu 24.04 LTS」の「proposed」ポケット（リポジトリー）に配置されました。
しかしユーザーがデフォルトで無効になっている「proposed」ポケットを有効にしない限り、本脆弱性に影響を受けません。

現在悪意ある「xz/liblzma」はすでに削除されています。

不安なら

もし状況が良く分からず不安なら、デイリービルドのディスクイメージをダウンロードして、クリーンインストールすると良いでしょう。

本件への影響を確実に回避するために

「Canonical」は今回の報告を受け、悪意ある「xz/liblzma」がポケット（リポジトリー）に配置された後に「Ubuntu 24.04 LTS」向けにビルドされたすべてのソフトウェアを、新しいビルド環境で再ビルドする決定を下しました。

• Noble Numbat Beta delayed (xz/liblzma security update)

これにより本件への影響を確実に回避できます。

βリリースを1週間延期

このため2024年4月4日に予定されていた「Ubuntu 24.04 LTS β版」のリリースは、2024年4月11日に延期されました。
その他βリリースの進捗は、以下を参照してください。

• Noble Numbat (24.04) Beta Release Status Tracking