USN-7530-2: Ubuntu estende alle LTS la patch ADOdb, serve Ubuntu Pro

Canonical ha pubblicato il 4 novembre 2026 l'avviso USN-7530-2, che estende alle versioni LTS di Ubuntu una correzione uscita un anno e mezzo prima. Chi gestisce server con pannelli o applicazioni PHP che incorporano ADOdb - il caso più diffuso è Moodle - e usa ancora una LTS invece delle release intermedie deve guardare questo bollettino.

Cosa corregge

USN-7530-1 fixed a vulnerability in ADOdb. This update provides the corresponding updates for Ubuntu 16.04 LTS, Ubuntu 18.04 LTS, Ubuntu 20.04 LTS, Ubuntu 22.04 LTS, and Ubuntu 24.04 LTS. La falla, identificata come CVE-2025-46337, riguarda ADOdb, libreria PHP che fornisce astrazioni per eseguire query e gestire database: prima della versione 5.22.9, un'escape non corretta di un parametro di query può permettere a un attaccante di eseguire comandi SQL arbitrari quando il codice che usa ADOdb si collega a un database PostgreSQL e chiama pg_insert_id() con dati forniti dall'utente.

Il punto da tenere a mente per chi fa debug di un incidente: la superficie di attacco non è tutta l'installazione ADOdb, ma solo il driver PostgreSQL e quel metodo specifico. Nel caso di Moodle, Moodle core does not call this method, so only sites running third-party code that does are exposed. Chi usa plugin o moduli custom che passano input utente a pg_insert_id() resta comunque esposto.

Versioni corrette

Release Ubuntu	Pacchetto - versione
24.04 LTS (noble)	libphp-adodb 5.21.4-1ubuntu0.1~esm1
22.04 LTS (jammy)	libphp-adodb 5.20.19-1ubuntu0.1+esm1
20.04 LTS (focal)	libphp-adodb 5.20.16-1ubuntu0.1~esm2
18.04 LTS (bionic)	libphp-adodb 5.20.9-1ubuntu0.1~esm2
16.04 LTS (xenial)	libphp-adodb 5.20.3-1ubuntu1+esm2

Su tutte e cinque le release il pacchetto corretto è disponibile solo con Ubuntu Pro via ESM Apps: senza abbonamento attivo, apt update && apt upgrade non scarica la patch su queste versioni.

Per le release non-LTS la correzione era già arrivata da tempo: il 29 maggio 2025 Canonical aveva corretto la stessa falla su Ubuntu 25.04 e 24.10, con libphp-adodb aggiornato rispettivamente a 5.22.8-0.1ubuntu0.1 e 5.22.7-0.1ubuntu0.1.

Cosa fare

Su chi ha server con 16.04-24.04 LTS e pacchetto libphp-adodb installato: verificare prima la versione con dpkg -l libphp-adodb, poi controllare se la sottoscrizione Ubuntu Pro è attiva con pro status. Senza Pro, l'unica strada resta aggiornare manualmente alla versione upstream 5.22.9 o successiva, oppure isolare le applicazioni che chiamano pg_insert_id() su connessioni PostgreSQL.