USN-8913-1: quattro falle in libx11, patch per tutte le Ubuntu LTS

Canonical ha pubblicato il 12 ottobre 2026 l'avviso USN-8913-1, che corregge quattro vulnerabilità nella libreria client-side libx11, usata da qualunque applicazione grafica basata su X11, inclusi i casi di X11 forwarding via SSH spesso attivi su server remoti per il debug di tool grafici.

Le falle corrette

La più seria è stata scoperta da Adam Bedard: Adam Bedard discovered that libx11 incorrectly handled certain XKB keyboard map replies. Se un utente viene indotto a connettersi a un server X malevolo, un attaccante remoto potrebbe usare questo problema per causare il crash di libx11, con denial of service, o possibilmente eseguire codice arbitrario (CVE-2026-88806).

Le altre due riguardano i messaggi X Input Method: è stato scoperto che libx11 gestiva in modo scorretto certi messaggi X Input Method (XIM); se un utente viene indotto a connettersi a un server X malevolo, un attaccante remoto potrebbe usare questi problemi per causare il crash di libx11, con denial of service (CVE-2026-94283, CVE-2026-94284).

La quarta riguarda la conversione del testo: è stato scoperto che libx11 gestiva in modo scorretto la conversione di certo testo multibyte. Un attaccante potrebbe usare questo problema per causare il crash di libx11, con denial of service (CVE-2026-94285).

Versioni corrette e istruzioni

Il problema può essere corretto aggiornando il sistema alle seguenti versioni del pacchetto:

Release Ubuntu	Versione libx11-6
26.04 LTS (resolute)	2:1.8.13-1ubuntu0.1
24.04 LTS (noble)	2:1.8.7-1ubuntu0.1
22.04 LTS (jammy)	2:1.7.5-1ubuntu0.4
20.04 LTS (focal)	2:1.6.9-2ubuntu1.6+esm1 (Ubuntu Pro)
18.04 LTS (bionic)	2:1.6.4-3ubuntu0.4+esm3 (Ubuntu Pro)
16.04 LTS (xenial)	2:1.6.3-1ubuntu2.2+esm5 (Ubuntu Pro + Legacy Support)
14.04 LTS (trusty)	2:1.6.2-1ubuntu2.1+esm6 (Ubuntu Pro + Legacy Support)

Per 20.04, 18.04, 16.04 e 14.04 la correzione è distribuita solo tramite Ubuntu Pro. Per le altre release basta l'aggiornamento standard dei pacchetti.

Canonical ricorda che dopo un aggiornamento standard del sistema è necessario riavviare il computer per rendere effettive tutte le modifiche necessarie. Chi espone X11 forwarding su server di sviluppo o workstation remote dovrebbe pianificare l'aggiornamento e il riavvio a breve, dato il rischio di esecuzione di codice segnalato per CVE-2026-88806.