Ubuntu corregge un crash nel modulo Perl XS::Parse::Keyword (USN-8940-1)

Canonical ha pubblicato il 20 ottobre 2026 l'avviso USN-8940-1, che corregge un bug di tipo denial of service nel modulo Perl XS::Parse::Keyword distribuito con Ubuntu. Il pacchetto interessato è libxs-parse-keyword-perl, usato da chi ha moduli Perl compilati con supporto a sintassi keyword personalizzate: non è un pacchetto esotico, capita di trovarlo come dipendenza in tool di automazione e script di sistema più vecchi.

Cosa dice l'avviso

Secondo quanto riportato da Canonical, è stato scoperto che il modulo Perl XS::Parse::Keyword non gestiva correttamente alcuni input, e se un utente o un sistema automatico venisse indotto a ricevere un input appositamente creato, un aggressore potrebbe causare un denial of service.

Il problema è tracciato come CVE-2026-85644. Guardando la scheda tecnica del CVE, il difetto non è proprio nel parser dei keyword ma in un componente correlato, XS::Parse::Infix: la funzione wrapper generata per un operatore infisso list-associative controlla se gli argomenti sono riferimenti ad array usando SvRV() invece di SvROK(), quindi per un valore numerico quello slot contiene il numero stesso e SvTYPE() lo dereferenzia all'offset 12. Il risultato tipico, come conferma la stessa scheda, è un segmentation fault, cioè il crash del processo Perl che ha caricato il modulo.

Pacchetti e versioni corrette

Release Ubuntu	Nome in codice	Pacchetto	Versione corretta
26.10	stonking	libxs-parse-keyword-perl	0.49-1ubuntu1
26.04 LTS	resolute	libxs-parse-keyword-perl	0.49-1ubuntu0.1

L'aggiornamento arriva con un normale apt update && apt upgrade sui sistemi supportati. Chi usa Ubuntu Pro ha comunque la stessa procedura: Ubuntu Pro fornisce dieci anni di copertura di sicurezza per oltre 25.000 pacchetti nei repository Main e Universe, ed è gratuito fino a cinque macchine.

Vale la pena notare che lo stesso CVE è comparso anche negli avvisi openSUSE pubblicati il 18 ottobre 2026 per il pacchetto perl-XS-Parse-Keyword, segno che la correzione upstream (versione 0.50 su MetaCPAN) sta arrivando con tempi simili sulle principali distribuzioni. Chi gestisce VPS misti Ubuntu/openSUSE con script Perl in produzione farebbe bene a controllare entrambi i lati del parco macchine.