USN-7230-3: la patch per FRR di gennaio 2025 bloccava la validazione RPKI

Chi gestisce router BGP con FRR su Ubuntu e usa RPKI per validare le rotte deve aggiornare di nuovo. L'avviso USN-7230-3, pubblicato da Ubuntu il 5 novembre 2026, corregge una regressione introdotta dalla patch di sicurezza precedente, USN-7230-2, uscita il 27 gennaio 2025.

Cosa si era rotto

La correzione per CVE-2024-55553 aveva introdotto una regressione nel supporto RPKI, facendo sì che FRR smettesse di processare gli aggiornamenti RPKI dopo il primo, così le rotte non venivano rivalidate quando i dati RPKI cambiavano. Su Ubuntu 20.04 LTS l'effetto era peggiore: il demone BGP non partiva più quando il modulo RPKI era abilitato.

In pratica, su un router con RPKI attivo, dopo la patch di gennaio 2025 le rotte restavano validate (o invalidate) in base al primo pull dei dati RPKI, senza più aggiornarsi. Chi gestisce peering BGP con origin validation attiva e si fida di RPKI per bloccare route leak e dirottamenti, in questo periodo ha lavorato con dati potenzialmente stantii.

Il bug originale

La vulnerabilità di partenza, CVE-2024-55553, riguardava la gestione degli aggiornamenti ricevuti via RTR: quando il totale degli update superava la dimensione del buffer del socket interno (4 KB di default sulla maggior parte dei sistemi operativi), FRR rivalidava tutte le rotte nella RIB, con un impatto sulle prestazioni che poteva sfociare in denial of service. Il progetto FRRouting aveva risolto il problema a monte nelle versioni 10.0.3, 10.1.2, 10.2.1 e 10.3.

Pacchetti da aggiornare

Release Ubuntu	Pacchetto	Versione corretta
24.04 LTS (noble)	frr-rpki-rtrlib	8.4.4-1.1ubuntu6.8
22.04 LTS (jammy)	frr-rpki-rtrlib	8.1-1ubuntu1.17
20.04 LTS (focal)	frr	7.2.1-1ubuntu0.2+esm5 (richiede Ubuntu Pro via ESM Apps)

Per Ubuntu 20.04 la correzione è disponibile solo con Ubuntu Pro tramite ESM Apps; Ubuntu segnala che una fix pubblica per la community potrebbe arrivare in futuro. Sulle altre release basta il consueto aggiornamento di sistema (apt update && apt upgrade). Chi ha RPKI attivo su router Ubuntu con FRR dovrebbe verificare, dopo l'update, che la rivalidazione delle rotte riprenda effettivamente: un riavvio del demone bgpd o un reload della sessione RTR è la verifica più rapida.