USN-8895-1: falla in sudo, bypass delle restrizioni orarie NOTBEFORE/NOTAFTER
Un bug in sudo permette a un utente locale di aggirare le restrizioni orarie dei sudoers manipolando la variabile TZ. Patch disponibile per 22.04, 24.04 e 26.04 LTS.
Redazione UptimeMag · 7 ottobre 2026 · 1 minuti di lettura
Ubuntu ha pubblicato l'avviso di sicurezza USN-8895-1, datato 7 ottobre 2026, per una vulnerabilità in sudo che riguarda chi usa restrizioni orarie nelle regole sudoers. Conta per chi gestisce server Ubuntu con policy di accesso limitate a certe fasce orarie: un local user può aggirarle.
Il problema
Secondo l'avviso, sudo non gestiva correttamente le restrizioni di accesso basate sul tempo quando le regole sudoers usavano le direttive NOTBEFORE o NOTAFTER con timestamp privi dell'indicatore di fuso orario finale. Un attaccante locale potrebbe sfruttare questo bug per eseguire comandi al di fuori della finestra temporale prevista, manipolando la variabile d'ambiente TZ.
La vulnerabilità è tracciata come CVE-2026-96512.
Pacchetti e versioni corrette
Il pacchetto interessato è sudo (e sudo-ldap dove presente). Le versioni che risolvono il problema, per release:
| Release Ubuntu | Pacchetto | Versione corretta |
|---|---|---|
| 26.04 LTS (resolute) | sudo | 1.9.17p2-1ubuntu3.2 |
| 24.04 LTS (noble) | sudo | 1.9.15p5-3ubuntu5.24.04.4 |
| 24.04 LTS (noble) | sudo-ldap | 1.9.15p5-3ubuntu5.24.04.4 |
| 22.04 LTS (jammy) | sudo | 1.9.9-1ubuntu2.7 |
| 22.04 LTS (jammy) | sudo-ldap | 1.9.9-1ubuntu2.7 |
Cosa fare
Un aggiornamento standard del sistema (apt update && apt upgrade) applica le versioni corrette. Chi usa regole sudoers con NOTBEFORE o NOTAFTER dovrebbe verificare dopo l'update che le finestre orarie siano rispettate come previsto, specialmente se le timestamp in uso non riportano il fuso orario esplicito.
Ubuntu ricorda che Ubuntu Pro offre copertura di sicurezza decennale su oltre 25.000 pacchetti nei repository Main e Universe, gratuita fino a cinque macchine.
Testo redatto con il supporto dell'intelligenza artificiale e verificato dalla redazione (AI Act, art. 50). Fonte: Ubuntu – avvisi di sicurezza.