OpenBSD 8.0が2026年10月20日に公開されました。プロジェクトとして61回目のリリースです。今回のアップデートでは、ファイアウォールのセキュリティ強化、メモリ安全性の修正、ネットワークデーモンの検証強化、中核コンポーネントのセキュリティ更新など、多くの改善が行われています。
Securityflaw patching
主な更新内容は、OpenBSDのパケットフィルタリング型ファイアウォール「PF」の強化と、仮想化、暗号ライブラリ、システムユーティリティに関する脆弱性の修正です。
管理者は、今回のリリースに含まれる機能と、その後に公開されたエラータ（修正パッチ）を区別して確認する必要があります。OpenBSDは追加のパッチも公開しており、その中には、特定のハードウェア構成に影響し、リモートから引き起こせるIPsecカーネルのヒープオーバーフローも含まれています。
OpenBSD 8.0を公開
PFには、細工されたTCPリセットパケットによって接続状態が不正に妨害されるのを防ぐ対策が導入されました。開発者は、接続カウンターの競合状態によるアンダーフロー、送信パケット経路でのNULLポインタ参照、`pf_rule_copyin()`での境界外読み取りといった問題にも対処しています。
さらに、ファイアウォールのioctlインターフェースで終端されていない文字列を拒否するようにし、`DIOCIGETIFACES`のオフバイワン（off-by-one）エラーも修正しました。テーブルのアタッチに失敗しても、呼び出し元のルールセットが解放されることはなくなりました。フラグメントの再構築も、IPv4とIPv6のどちらの処理でも正しいルーティングドメインで行われるようになっています。
Berkeley Packet Filterエンジンには、CVE-2026-31912に関連するプログラム境界チェックが実装されました。追加の検証により、未対応の命令がブロックされます。これは、境界外読み取りにつながる整数オーバーフローに対する既存の修正を補完するものです。
OpenBSDの`httpd`は、曖昧なCL.TE方式のリクエストフレーミングと、廃止されたフォールドヘッダーを拒否するようになりました。`relayd`サービスも更新され、重複したContent-Lengthヘッダーを拒否し、チャンク形式のメッセージからContent-Lengthを取り除きます。両サービスとも、デフォルトのTLS暗号設定を「secure」に切り替えました。
`iked`デーモンは、不正な形式のIKEv2メッセージや、状態に合わないIKEv2メッセージを拒否します。DHCPサーバーの更新では、悪意あるアドレスデータによるクラッシュを防ぎ、DHCPINFORMリクエストによるメモリ枯渇の可能性も減らしました。
SMTPでは、特権分離の強化、暗号化されたキューバッファーの検証、安全でないユーザー名の拒否が行われました。関連する入力フィールドでは、キャリッジリターンとラインフィードの文字も拒否します。
今回のリリースでは`libexpat`をバージョン2.8.4に更新し、CVE-2026-66046、CVE-2026-76641、CVE-2026-76957に対処しました。Perlでは、`Storable`、`pack`、`unpack`の整数オーバーフローを修正しています。`Socket 2.041`では、ヒープの境界外読み取りも修正しました。
仮想化では、不正な形式のELFファイルによって`vmd`の32ビット・64ビットローダーで境界外読み取りが起きる問題を防ぎます。アーカイブユーティリティの`pax`も、悪意あるアーカイブが作業ディレクトリの外にファイルを展開するのを防ぐようになりました。
公開済みのエラータで最も重大なのは、AES-GMACを使ったIPsecで、リモートから引き起こせるカーネルヒープオーバーフローです。
この問題の影響を受けるのは、AES-NIを使うamd64システムと、暗号コプロセッサーを使うOcteonシステムです。AES-GCMは影響を受けません。ほかにも、ビデオドライバーのuse-after-free、カーネルメモリの破損、NSDの脆弱性に対するパッチが公開されています。
管理者は`syspatch`を使って、提供されているバイナリアップデートを適用できます。完全なバイナリアップデートが提供されるのは、amd64、i386、arm64アーキテクチャです。それ以外のアーキテクチャでは、通常ソースパッチが必要になります。OpenBSD 8.0をインストールしたら、エラータを確認し、該当する修正を適用してください。
MTTRを21分短縮し、影響が出る前にサイバー脅威を阻止。ANYRUNのサンドボックスをSOCに導入。
AuditSecurity
翻訳元: https://gbhackers.com/openbsd-8-0-released/
