毎朝 7:00 更新メールで受け取る
security トップ　／　過去の号　／　2026.11.07 の号
この日の一言2026.11.07

コンテナ・VM 管理基盤の LXD に、細工したイメージや API 操作でホストのファイルを読み書きされ、root 権限でコマンドを実行されうる重大な脆弱性がまとめて公開されました。LXD サーバーを運用している場合は修正版へ更新し、それまでは信頼できないイメージを取り込まないでください。

11.07土曜日の朝
  1. Go細工したイメージのシンボリックリンクで、ホストのファイルを読み書きされる
  2. Goバックアップの圧縮方式の指定に引数を混ぜ込み、ホストに任意のファイルを書ける
  3. Go悪意あるイメージサーバーのヘッダーで、パスをたどって任意のファイルを書かれる
  4. Go制限付きプロジェクトの制約を回避され、ホストでコマンド実行や他プロジェクトのデータ取得をされる
  5. Pythonレイヤー名を細工したファイルのアップロードで、サーバー上でコマンドを実行される
この号の脆弱性　全5件
Go2026.11.07重大

細工したイメージのシンボリックリンクで、ホストのファイルを読み書きされる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン。exec-output の件は 0.0.0-20260626085134-124f90100640 より前、templates の件は 0.0.0-20260203144152-d1c8ba15d160 より前）　→　0.0.0-20260630083100-c5184be310b1

やること　Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは信頼できない出所のイメージを取り込まないでください。

GHSA-vghh-5rfx-xhq8・CVE-2026-48749・GHSA-jpf8-86f3-wp38・CVE-2026-48752・GHSA-9j25-mm2h-2f76・CVE-2026-48750読む
Go2026.11.07重大

バックアップの圧縮方式の指定に引数を混ぜ込み、ホストに任意のファイルを書ける

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1

やること　Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは API にアクセスできるクライアント証明書・ユーザーを信頼できる相手に絞ってください。

GHSA-fmc8-p6q7-75cc・CVE-2026-48755読む
Go2026.11.07重大

悪意あるイメージサーバーのヘッダーで、パスをたどって任意のファイルを書かれる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1

やること　Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。LXD サーバーは修正を含むリリースへ更新し、それまでは信頼できない URL からイメージを取り込まないでください。

GHSA-pjff-c2wc-f6jm・CVE-2026-48769読む
Go2026.11.07重大

制限付きプロジェクトの制約を回避され、ホストでコマンド実行や他プロジェクトのデータ取得をされる

github.com/canonical/lxd　0.0.0-20260630083100-c5184be310b1 より前（Go モジュールの疑似バージョン）　→　0.0.0-20260630083100-c5184be310b1

やること　Go モジュールとして使っている場合は 0.0.0-20260630083100-c5184be310b1 以降へ更新してください。プロジェクト制限で複数の利用者を分けている LXD サーバーは、修正を含むリリースへ優先して更新してください。

GHSA-47w9-6r3f-938g・CVE-2026-48751・GHSA-qx75-2p3r-pwm5・CVE-2026-55622・GHSA-7mr3-28h5-m5vx・CVE-2026-55621読む
Python2026.11.07高

レイヤー名を細工したファイルのアップロードで、サーバー上でコマンドを実行される

GeoNode　5.1.0 より前　→　5.1.0

やること　5.1.0 以降へ更新してください。

GHSA-9fpx-fr6j-2vh6・CVE-2026-33050読む
補足