Ubuntu corregge libXtst: falla DoS nell'estensione RECORD di X11

Canonical ha pubblicato il 19 ottobre 2026 l'avviso di sicurezza USN-8939-1, che corregge alcune vulnerabilità nella libreria libXtst su tutte le release Ubuntu attualmente supportate, da 16.04 LTS fino alla 26.10. Per chi amministra server Ubuntu con pacchetti X11 installati — capita più spesso di quanto si pensi, per dipendenze di tool di automazione, X11 forwarding via SSH o software di accesso remoto — è un aggiornamento da non saltare, anche se il rischio pratico resta contenuto.

Cosa fa libXtst e perché conta

Il pacchetto fornisce l'interfaccia client X Window System per l'estensione Record del protocollo X. libXtst provides an X Window System client interface to the Record extension to the X protocol. The Record extension allows X clients to synthesise input events, which is useful for automated testing. Non è quindi una libreria che ci si aspetta su un server headless puro, ma compare come dipendenza in ambienti con automazione GUI, strumenti di testing o software come x11vnc.

I difetti corretti

L'avviso descrive tre problemi. Il più recente, CVE-2026-94286, riguarda tutte le release: un server X malevolo può sfruttare una gestione non corretta delle risposte RECORD per causare il crash dei client libXtst, con conseguente denial of service. Gli altri due, CVE-2016-7951 e CVE-2016-7952, scoperti da Tobias Stoeckmann, riguardano solo Ubuntu 16.04 LTS: il primo causa accessi fuori dai limiti di memoria, il secondo un ciclo infinito, sempre a partire da un server X compromesso.

Versioni corrette e come aggiornare

Release	Pacchetto	Versione corretta
26.10 (stonking)	libxtst6 / libxtst-dev	2:1.2.5-1ubuntu1
26.04 LTS (resolute)	libxtst6 / libxtst-dev	2:1.2.5-1ubuntu0.1
24.04 LTS (noble)	libxtst6 / libxtst-dev	2:1.2.3-1.1ubuntu0.1
22.04 LTS (jammy)	libxtst6 / libxtst-dev	2:1.2.3-1ubuntu0.22.04.1
20.04 LTS (focal)	libxtst6 / libxtst-dev	2:1.2.3-1ubuntu0.20.04.1~esm1 (richiede Ubuntu Pro)
18.04 LTS (bionic)	libxtst6 / libxtst-dev	2:1.2.3-1ubuntu0.18.04.1~esm1 (richiede Ubuntu Pro)
16.04 LTS (xenial)	libxtst6 / libxtst-dev	2:1.2.2-1ubuntu0.1~esm1 (richiede Ubuntu Pro con add-on Legacy Support)

Sulle release non più in supporto standard (20.04, 18.04, 16.04) la patch arriva solo tramite Ubuntu Pro. Canonical ricorda che il programma copre oltre 25.000 pacchetti dei repository Main e Universe con dieci anni di aggiornamenti di sicurezza ed è gratuito fino a cinque macchine, un'opzione da valutare per chi ha ancora istanze su versioni vecchie e non può migrare subito. Su tutte le altre release basta il consueto apt update && apt upgrade.