生成安全补丁推荐清单

Below are 10 high-priority security patches to apply on Ubuntu Server 20.04. Each item identifies the affected component, key CVE(s), the risk addressed, and the package(s) to update. Apply them from Ubuntu’s official repositories, and ensure Extended Security Maintenance (Ubuntu Pro/ESM) is enabled since Ubuntu 20.04’s standard support ended in April 2025.

General update guidance:

• Enable ESM for continued security updates: sudo pro attach && sudo pro enable esm-apps esm-infra
• Refresh and apply updates: sudo apt update && sudo apt full-upgrade
• Reboot after kernel updates: sudo reboot
• Verify status: ubuntu-security-status and apt list --upgradable

Recommended patches:

1. polkit (pkexec) – CVE-2021-4034 “PwnKit”

• Risk: Local privilege escalation to root via pkexec.
• Packages: policykit-1 (polkit).
• Action: sudo apt install --only-upgrade policykit-1

2. sudo – CVE-2021-3156 “Baron Samedit”

• Risk: Local privilege escalation via heap-based overflow in sudo.
• Packages: sudo.
• Action: sudo apt install --only-upgrade sudo

3. GNU C Library (glibc) – CVE-2023-4911 “Looney Tunables”

• Risk: Local privilege escalation via environment variable processing.
• Packages: libc6 and related glibc packages.
• Action: sudo apt install --only-upgrade libc6

4. Linux kernel – CVE-2022-0847 “Dirty Pipe”

• Risk: Local privilege escalation and arbitrary file overwrites in affected kernels (notably HWE kernels ≥5.8).
• Packages: linux-image-generic, linux-image-generic-hwe-20.04, specific linux-image-, linux-modules-.
• Action: sudo apt install --only-upgrade linux-image-generic linux-image-generic-hwe-20.04 (then reboot)

5. Linux kernel – CVE-2023-0386 (OverlayFS)

• Risk: Local privilege escalation via OverlayFS improperly handling user namespaces.
• Packages: linux-image-* and modules as above.
• Action: Update kernel as in item 4 (then reboot)

6. Linux kernel – CVE-2023-32233 (netfilter)

• Risk: Local privilege escalation via use-after-free in nf_tables.
• Packages: linux-image-* and modules as above.
• Action: Update kernel as in item 4 (then reboot)

7. OpenSSH – CVE-2023-38408 (ssh-agent PKCS#11)

• Risk: Potential remote code execution when ssh-agent is exposed and PKCS#11/Smartcard providers are used.
• Packages: openssh-server, openssh-client.
• Action: sudo apt install --only-upgrade openssh-server openssh-client

8. OpenSSL – CVE-2022-0778 (BN_mod_sqrt infinite loop)

• Risk: DoS via malicious X.509 certificate parsing; affects OpenSSL 1.1.1 variants.
• Packages: openssl, libssl1.1 (and related libssl packages).
• Action: sudo apt install --only-upgrade openssl libssl1.1

9. curl/libcurl – CVE-2023-38545 and CVE-2023-38546

• Risk: Heap overflow (SOCKS5) and cookie disclosure; exploitable in specific proxy/use contexts.
• Packages: curl, libcurl4.
• Action: sudo apt install --only-upgrade curl libcurl4

10. networkd-dispatcher – CVE-2022-29799 and CVE-2022-29800 “Nimbuspwn”

• Risk: Local privilege escalation via symlink race and path traversal.
• Packages: networkd-dispatcher.
• Action: sudo apt install --only-upgrade networkd-dispatcher

Operational recommendations:

• Use unattended upgrades: sudo apt install unattended-upgrades && sudo dpkg-reconfigure unattended-upgrades
• Pin HWE kernel stream if you use newer hardware: ensure linux-image-generic-hwe-20.04 is installed and kept updated.
• Audit patch coverage: review Ubuntu Security Notices (USNs) for each package and confirm installation dates with /var/log/dpkg.log.

These patches cover widely exploited or high-impact vulnerabilities on Ubuntu 20.04. Ensure all dependencies are updated from supported repositories and reboot after kernel updates to activate fixes.

以下は、Debian 11 (bullseye、現在はLTS対象) 環境で優先度が高い推奨セキュリティパッチの例10件です。各項目は適用対象パッケージ、主要CVE、影響、推奨対応を示します。適用は、bullseye-security (およびLTSリポジトリ) から提供される最新修正へ更新することを前提とします。

1. glibc (libc6)

• CVE: CVE-2023-4911 (“Looney Tunables”)
• 影響: GLIBC_TUNABLES処理におけるバッファオーバーフローによりローカル権限昇格の可能性
• 推奨対応: libc6 を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade libc6

2. OpenSSH (openssh-server)

• CVE: CVE-2024-6387 (“regreSSHion”)
• 影響: sshdのシグナルハンドラ競合により、特定条件下でリモートからコード実行・サービス障害の可能性
• 推奨対応: openssh-server を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade openssh-server

3. Linux カーネル (linux-image-*)

• CVE: CVE-2022-0847 (“Dirty Pipe”)
• 影響: ローカルユーザによるroot権限取得につながる可能性
• 推奨対応: 該当アーキテクチャの linux-image パッケージを最新のセキュリティ版へ更新 例: apt-get install --only-upgrade linux-image-amd64

4. libwebp

• CVE: CVE-2023-4863
• 影響: ヒープバッファオーバーフロー。libwebpを利用するブラウザ/ビューア/変換ツール経由でコード実行の可能性
• 推奨対応: libwebp を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade libwebp

5. curl / libcurl

• CVE: CVE-2023-38545, CVE-2023-38546
• 影響: SOCKS5処理のヒープオーバーフロー、Cookie注入等により情報漏えい・コード実行の可能性
• 推奨対応: curl および libcurl4 を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade curl libcurl4

6. polkit (policykit-1)

• CVE: CVE-2021-4034 (“PwnKit”)
• 影響: ローカル権限昇格 (root)
• 推奨対応: policykit-1 を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade policykit-1

7. sudo

• CVE: CVE-2021-3156 (“Baron Samedit”)
• 影響: ヒープベースのバッファオーバーフローによりローカル権限昇格
• 推奨対応: sudo を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade sudo

8. OpenSSL (openssl / libssl1.1)

• CVE: CVE-2022-0778
• 影響: 証明書解析の無限ループによりDoS。TLS/証明書処理系の可用性低下
• 推奨対応: openssl および libssl1.1 を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade openssl libssl1.1

9. BIND 9 (bind9)

• CVE: CVE-2022-3094 ほか (DoS関連)
• 影響: 特定クエリ処理に起因するサービス障害。DNS基盤の可用性低下
• 推奨対応: bind9 を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade bind9

10. Nginx (nginx)

• CVE: CVE-2023-44487 (“HTTP/2 Rapid Reset”)
• 影響: HTTP/2の急速リセット乱発によるDoS攻撃。公開Webサービスの可用性低下
• 推奨対応: nginx (必要に応じて libnghttp2-14) を最新のセキュリティ版へ更新 例: apt-get install --only-upgrade nginx libnghttp2-14

運用上の注意:

• セキュリティリポジトリが有効であることを確認する。例: /etc/apt/sources.list に「deb http://deb.debian.org/debian-security bullseye-security main」
• 適用前に影響範囲を評価し、再起動が必要なパッケージ（Linuxカーネル、OpenSSH 等）はメンテナンス時間帯に計画的に更新する。
• 自動適用には unattended-upgrades の活用を検討する。例: apt-get install unattended-upgrades; dpkg-reconfigure unattended-upgrades
• 実環境で稼働していないパッケージには更新を適用しない（最小権限・最小構成の原則）。