SOGo: falla nel reset password permette il furto di account, patch solo per Ubuntu Pro

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso USN-8993-1 per una vulnerabilità in SOGo, il server di groupware e webmail usato per calendari, rubrica e posta su molte installazioni self-hosted. Riguarda chi fa girare SOGo su Ubuntu 26.04 LTS ("resolute") per erogare webmail ai propri clienti o alla propria organizzazione.

Il problema

Il bug, tracciato come CVE-2026-93453, riguarda la funzione di reset password. Secondo l'avviso Ubuntu, SOGo usa l'header Origin fornito dal client per costruire il link di recupero password inviato via email. Un attaccante remoto può quindi manipolare quell'header e ottenere il token di reset, fino a prendere il controllo dell'account.

La scheda ufficiale del CVE, pubblicata il 18 settembre 2026, descrive il meccanismo: SOGo before 5.12.11 constructs password-reset links using the client-supplied Origin header as the authority, allowing unauthenticated attackers to redirect recovery tokens to attacker-controlled domains. L'attacco non richiede credenziali: Attackers can submit password recovery requests with a malicious Origin header to have valid password-reset tokens mailed to victim recovery addresses within links pointing to attacker infrastructure, enabling account takeover. Il punteggio di gravità assegnato è Base score 8.7 · High su scala CVSS 4.0.

Il progetto a monte, sviluppato da Alinto, ha chiuso il problema con la versione 5.12.11, rilasciata a settembre 2026.

Come intervenire su Ubuntu

L'avviso riguarda la sola release 26.04 LTS. Il pacchetto corretto è sogo versione 5.12.4-1.2ubuntu0.1~esm2, ma la nota Ubuntu precisa che è disponibile solo tramite Ubuntu Pro via ESM Apps: non c'è ancora una build pubblica equivalente nei repository standard. Dopo l'aggiornamento va riavviato il servizio SOGo perché le modifiche abbiano effetto.

Chi gestisce installazioni SOGo su 26.04 LTS senza sottoscrizione Ubuntu Pro resta quindi esposto finché non valuta l'attivazione di ESM Apps (gratuita fino a 5 macchine) o un aggiornamento manuale alla versione upstream 5.12.11 o successiva, seguendo le istruzioni del progetto SOGo.