Ubuntu corregge 11 falle in libsoup: da crash a furto di credenziali proxy

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso USN-8975-1, che corregge 11 vulnerabilità nella libreria libsoup, usata da applicazioni GNOME e da diversi servizi che fanno client/server HTTP su Linux. Chi tiene desktop GNOME o servizi che si appoggiano a libsoup2.4/libsoup3 su una macchina esposta in rete ha un motivo per aggiornare subito.

Cosa corregge l'avviso

La maggior parte delle falle riguarda la gestione dei frame WebSocket: è stato scoperto che libsoup gestiva in modo scorretto alcuni frame WebSocket, e un attaccante remoto poteva usare il problema per far crashare un'applicazione o esporre informazioni sensibili (CVE-2026-12478). Nello stesso filone rientrano i bug su messaggi WebSocket frammentati, di grandi dimensioni o compressi (CVE-2026-102557, CVE-2026-102559, CVE-2026-102560).

Due falle meritano attenzione specifica su un server esposto: libsoup non gestiva correttamente alcune richieste HTTP, e un attaccante remoto poteva usare il problema per iniettare richieste HTTP arbitrarie (CVE-2026-103399). E ancora: libsoup gestiva in modo scorretto le credenziali del proxy, e un attaccante remoto poteva usare il problema per ottenere informazioni sensibili (CVE-2026-12547).

Ricerche su fonti terze confermano che lo stesso filone di bug WebSocket in libsoup è stato patchato in parallelo su altre distribuzioni: AlmaLinux, Rocky Linux e openSUSE hanno rilasciato avvisi analoghi tra metà ottobre e inizio novembre 2026, segno di un intervento upstream coordinato sul progetto GNOME.

Pacchetti e versioni corrette

Release	Pacchetto chiave	Versione corretta
26.10	libsoup-3.0-0	3.6.6-1ubuntu3.1
24.04 LTS	libsoup-2.4-1	2.74.3-6ubuntu1.10
22.04 LTS	libsoup2.4-1	2.74.2-3ubuntu0.10
20.04 LTS	libsoup2.4-1	2.70.0-1ubuntu0.5+esm5 (richiede Ubuntu Pro)
18.04 LTS	libsoup2.4-1	2.62.1-1ubuntu0.4+esm10 (richiede Ubuntu Pro)
16.04 LTS	libsoup2.4-1	2.52.2-1ubuntu0.3+esm9 (richiede Legacy Support add-on)

Su 26.04 LTS e 22.04 LTS alcuni sotto-pacchetti (gir1.2-soup-2.4, libsoup-gnome2.4) risultano corretti solo tramite Ubuntu Pro via ESM Apps, mentre i pacchetti principali libsoup-3.0 restano aggiornabili senza abbonamento.

Cosa fare

Su sistemi con repository standard basta un apt update && apt upgrade. Chi usa 16.04, 18.04 o 20.04 e non ha Ubuntu Pro attivo resta esposto alle falle elencate: l'abbonamento è gratuito fino a cinque macchine, secondo quanto riportato dalla pagina stessa dell'avviso.