Ubuntu corregge rear: initrd leggibile da chiunque con GRUB_RESCUE attivo

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8988-1, che corregge una falla nel pacchetto rear (Relax-and-Recover), il tool open source usato per il disaster recovery bare metal e la migrazione di sistemi Linux. Chi lo usa per preparare immagini di ripristino su server Ubuntu deve aggiornare.

Il problema

Secondo l'avviso ufficiale, è stato scoperto che Relax-and-Recover creava un initrd leggibile da chiunque quando GRUB_RESCUE era abilitato, e un attaccante locale poteva potenzialmente usare questo problema per ottenere informazioni sensibili.

La falla è identificata come CVE-2024-23301. Non è una scoperta recente: era già pubblica da gennaio 2024, quando era stato segnalato che Relax-and-Recover (ReaR) fino alla versione 2.7 crea un initrd leggibile da chiunque quando si usa GRUB_RESCUE=y, permettendo ad attaccanti locali di accedere a segreti di sistema altrimenti riservati a root. Red Hat e SUSE avevano già rilasciato patch nel corso del 2024, e anche Debian era intervenuto con un aggiornamento per bookworm.

Chi è coinvolto e come aggiornare

L'avviso Ubuntu copre tre release:

Release	Pacchetto	Versione corretta	Note
22.04 LTS (jammy)	rear	2.6+dfsg-1+deb11u1build0.22.04.1	Repository standard
20.04 LTS (focal)	rear	2.5+dfsg-1ubuntu0.1~esm1	Solo con Ubuntu Pro via ESM Apps
18.04 LTS (bionic)	rear	2.3+dfsg-1ubuntu0.1~esm1	Solo con Ubuntu Pro via ESM Apps

Per 22.04 basta un normale apt update && apt upgrade. Per 20.04 e 18.04, invece, Relax-and-Recover created a world-readable initrd when GRUB_RESCUE was enabled è un rischio che resta aperto senza sottoscrizione Ubuntu Pro: la patch, secondo l'avviso, non ha ancora un equivalente community pubblico per queste due release.

Chi ha configurato GRUB_RESCUE su server con dati sensibili su queste versioni dovrebbe verificare i permessi dell'initrd generato e pianificare l'aggiornamento o l'attivazione di ESM Apps.