USN-8914-1: falla critica in Google Guest Agent su Ubuntu 22.04, patch disponibile

Chi gestisce macchine Ubuntu 22.04 LTS su Google Compute Engine ha un pacchetto da aggiornare. Canonical ha pubblicato il 12 ottobre 2026 l'avviso USN-8914-1, che corregge una falla nei pacchetti google-guest-agent e google-osconfig-agent. L'avviso riguarda solo le immagini 22.04 LTS (jammy); nessun'altra release Ubuntu è coinvolta.

Cosa c'è dentro

Questi due pacchetti non sono software generico: google-guest-agent è fornito da Google per l'installazione nelle guest che girano su Google Compute Engine, ed è una raccolta di strumenti e demoni che assicurano che le immagini Ubuntu pubblicate su GCE funzionino correttamente sulla piattaforma. Chi non ha VM su GCP può ignorare l'avviso: i pacchetti non vengono installati altrove.

Il problema nasce a monte, nella libreria Go x/net/idna, vendorizzata dentro entrambi gli agent. Secondo il testo dell'avviso, il pacchetto accettava etichette codificate in Punycode che si decodificano in etichette solo-ASCII durante l'elaborazione di nomi a dominio internazionalizzati, permettendo potenzialmente a un attaccante remoto di aggirare i controlli di accesso basati su hostname ed elevare i propri privilegi. La CVE di riferimento è CVE-2026-39821: secondo il CVE record pubblico, il difetto ha un punteggio CVSS di 9,6 (critico) e la falla nella libreria x/net è stata divulgata il 26 maggio 2026, con il fix upstream rilasciato nella stessa versione.

Versioni corrette

Pacchetto	Versione corretta (22.04 LTS)
google-guest-agent	20250116.00-0ubuntu1~22.04.4
google-osconfig-agent	20251028.00-0ubuntu2~22.04.1

Come aggiornare

Un normale aggiornamento di sistema applica la patch:

sudo apt update && sudo apt upgrade

Chi vuole verificare la versione installata può usare dpkg -l google-guest-agent google-osconfig-agent. Per chi resta su 22.04 oltre la fine del supporto standard, Canonical ricorda che Ubuntu Pro copre pacchetti in Main e Universe per dieci anni ed è gratuito fino a 5 macchine.