USN-8890-2: Ubuntu estende a 26.10 la patch libsoup con otto CVE

Canonical ha pubblicato il 21 ottobre l'avviso USN-8890-2, che estende a Ubuntu 26.10 "Stonking Stingray" la correzione di otto vulnerabilità in libsoup3 già distribuita il 6 ottobre per le altre release supportate con USN-8890-1. La libreria gestisce le connessioni HTTP/HTTPS per applicazioni GNOME e per servizi che la usano come dipendenza, quindi l'aggiornamento riguarda soprattutto workstation e ambienti desktop Ubuntu, meno i server headless che tipicamente non la installano.

Ubuntu 26.10 è uscita il 15 ottobre 2026, come confermato dal blog ufficiale Canonical, quindi l'avviso -2 arriva sei giorni dopo il rilascio della distribuzione, allineando la nuova versione interim alle correzioni già disponibili per le LTS.

Le falle corrette

La più grave delle otto è CVE-2026-85197, una use-after-free nel client HTTP/2 di libsoup. Secondo la scheda tecnica OpenCVE il problema ha un punteggio CVSS 3.1 di 7,6 (High). Il bug di sicurezza aperto su Debian descrive il meccanismo: scatta quando un'applicazione GNOME carica un file via HTTP/2 e il server invia un frame GOAWAY mentre il corpo del file viene letto in modo asincrono; l'esito può essere la corruzione della memoria, con conseguente divulgazione di informazioni o esecuzione di codice arbitrario. Per sfruttarla serve il controllo del server HTTP/2 di destinazione o una posizione man-in-the-middle.

Le altre sette riguardano denial of service su richieste e trasferimenti HTTP/2, bypass di controlli di sicurezza nel parsing di richieste HTTP chunked, divulgazione di informazioni tramite proxy HTTPS o credenziali di autenticazione proxy, e DoS tramite header HTTP Range malformati.

Pacchetti e versione corretta

Ubuntu Release	Pacchetto	Versione
26.10 stonking	libsoup-3.0-0	3.6.6-1ubuntu3
26.10 stonking	libsoup-3.0-common	3.6.6-1ubuntu3
26.10 stonking	libsoup-3.0-dev	3.6.6-1ubuntu3
26.10 stonking	gir1.2-soup-3.0	3.6.6-1ubuntu3

Per le altre release supportate (16.04, 18.04, 20.04, 22.04, 24.04 e 26.04 LTS) le versioni corrette restano quelle pubblicate il 6 ottobre con USN-8890-1, in parte disponibili solo tramite Ubuntu Pro ESM per le versioni più datate.

Cosa fare

Su Ubuntu 26.10 basta un aggiornamento standard: sudo apt update && sudo apt upgrade. Non serve riavviare il sistema, ma le applicazioni GNOME che usano libsoup (ad esempio client che fanno upload via HTTP/2) vanno riavviate per caricare la libreria aggiornata.