Squid: sei falle corrette su Ubuntu, la più grave permette request smuggling

Ubuntu ha pubblicato il 20 ottobre 2026 l'avviso USN-8941-1, che corregge sei vulnerabilità nel pacchetto Squid, il proxy cache usato su molte installazioni Linux sia come forward proxy aziendale sia come reverse cache davanti a backend web. Riguarda tutte le serie LTS supportate, da 16.04 a 24.04.

La falla più seria: request smuggling

È stato scoperto che Squid gestiva in modo scorretto certi header HTTP Transfer-Encoding. Un attaccante potrebbe sfruttare questo problema per eseguire attacchi di HTTP request smuggling, bypassare meccanismi di sicurezza o avvelenare le cache web (CVE-2026-61642). L'advisory upstream di Squid precisa che il problema permette a un client fidato di eseguire un attacco di HTTP Request Smuggling quando si usa HTTP/1.1, aggirando i meccanismi di sicurezza eventualmente presenti tra l'attaccante e Squid. Quando davanti a Squid opera una cache HTTP, l'attacco consente anche di avvelenare quella cache e memorizzare contenuto arbitrario malevolo su qualunque URL, servito poi alle richieste future di altri client. Il CVSS 3.1 assegnato dal progetto Squid è 7.7 (alto), con vettore di rete, bassa complessità e nessuna interazione utente richiesta. La scoperta è attribuita a Mitchell Benjamin di Revamp Studio; a monte la correzione è arrivata con la release Squid 7.6, mentre Ubuntu ha preferito un backport mirato dentro i pacchetti delle serie già distribuite, evitando il salto di versione maggiore.

Le altre cinque CVE riguardano solo le release più datate (16.04, 18.04, 20.04): un buffer overflow nella gestione delle risposte di cache digest che può causare un crash del servizio (CVE-2026-50012), un errore nel parsing delle directory listing FTP che espone informazioni sensibili (CVE-2026-47729), due problemi nella gestione del traffico ICP che portano a denial of service (CVE-2026-32748, CVE-2026-33526) e un bug nelle richieste ICP che può esporre dati (CVE-2026-33515).

Versioni corrette

Release	Pacchetto	Versione fix
24.04 LTS (noble)	squid / squid-openssl	6.14-0ubuntu0.24.04.5
22.04 LTS (jammy)	squid / squid-openssl	5.9-0ubuntu0.22.04.8
20.04 LTS (focal)	squid	4.10-1ubuntu1.13+esm3 (richiede Ubuntu Pro)
18.04 LTS (bionic)	squid	3.5.27-1ubuntu1.14+esm6 (richiede Ubuntu Pro)
16.04 LTS (xenial)	squid	3.5.12-1ubuntu7.16+esm7 (richiede Ubuntu Pro, add-on Legacy Support)

Su chi gestisce Squid come reverse proxy davanti a un CDN o a un cluster di backend, il rischio concreto è l'avvelenamento della cache: un contenuto malevolo servito a tutti i client successivi finché la entry non scade o viene invalidata manualmente. Per chi è su 24.04 o 22.04 basta un sudo apt update && sudo apt install --only-upgrade squid; chi è ancora su 20.04, 18.04 o 16.04 deve avere una sottoscrizione Ubuntu Pro attiva per ricevere la patch.

Fonte: avviso di sicurezza ufficiale Ubuntu USN-8941-1, 20 ottobre 2026.