Ubuntu corregge due falle nel modulo Perl DBI, una con esecuzione di codice

Canonical ha pubblicato il 12 ottobre 2026 l'avviso USN-8912-1, che corregge due vulnerabilità nel modulo Perl DBI (Database Interface), pacchetto libdbi-perl. Chi ha script Perl in produzione che usano DBI per accedere a database — caso comune su server legacy e pannelli di gestione — deve pianificare l'aggiornamento.

Le due falle

Harsh Raj Singhania ha scoperto che il modulo Perl DBI non validava correttamente alcuni attributi, e un attaccante potrebbe usare questo problema per eseguire codice arbitrario (CVE-2026-78030). Le analisi tecniche pubblicate su database di vulnerabilità indipendenti chiariscono il meccanismo: DBD::DBM passa gli attributi di connessione dbm_type e dbm_mldbm a require senza controllare che il valore indichi un modulo. In pratica, require tratta una stringa a forma di percorso come un nome di file letterale e non consulta @INC, quindi l'attributo sceglie il file che Perl carica ed esegue. Risultato: se un'applicazione passa input utente a questi attributi di connessione, l'attaccante può far eseguire al server uno script Perl a sua scelta.

La seconda falla è meno grave: il modulo non gestiva correttamente alcune operazioni su stringhe, e un attaccante potrebbe sfruttarla per causare un denial of service (CVE-2026-88816).

Versioni corrette e come aggiornare

Il comando è lo stesso di sempre: sudo apt update && sudo apt upgrade. Le versioni di destinazione del pacchetto libdbi-perl variano per release:

Release Ubuntu	Nome in codice	Versione corretta
26.04 LTS	Resolute	1.647-1ubuntu0.26.04.4
24.04 LTS	Noble	1.643-4ubuntu0.4
22.04 LTS	Jammy	1.643-3ubuntu0.4
20.04 LTS	Focal	1.643-1ubuntu0.1+esm4 (richiede Ubuntu Pro)
18.04 LTS	Bionic	1.640-1ubuntu0.3+esm4 (richiede Ubuntu Pro)
16.04 LTS	Xenial	1.634-1ubuntu0.2+esm5 (richiede Ubuntu Pro, add-on Legacy Support)
14.04 LTS	Trusty	1.630-1ubuntu0.1~esm9 (richiede Ubuntu Pro, add-on Legacy Support)

Per le release 20.04 e precedenti, ormai fuori dal supporto standard, la patch arriva solo con un abbonamento Ubuntu Pro attivo. Chi gestisce macchine su quelle versioni e non ha Pro deve valutare una migrazione a una release supportata, perché per queste CVE non c'è altra via di aggiornamento.