USN-8918-1: patch kernel Azure per Ubuntu 24.04, serve reboot e moduli da ricompilare

Ubuntu ha pubblicato il 13 ottobre 2026 l'avviso USN-8918-1, che corregge una lunga serie di falle nel kernel linux-azure per Ubuntu 24.04 LTS (noble). Riguarda chi fa girare macchine virtuali su Microsoft Azure con le varianti standard, FDE (confidential VM) e FIPS del kernel Ubuntu.

Cosa cambia

Il pacchetto principale citato nell'avviso è CVE-2023-20585: alcuni processori AMD non eseguivano correttamente i controlli della Reverse Map Table (RMP) quando lo IOMMU accedeva a certi buffer dell'host. Un attaccante locale con accesso all'hypervisor avrebbe potuto sfruttare la falla per compromettere l'integrità della memoria di una guest SEV-SNP.

Va detto, per non creare allarmi fuori scala: sul proprio CVE tracker Ubuntu classifica questo CVE come a bassa priorità, perché attivare il bug richiede CAP_SYS_ADMIN per configurare il passthrough VFIO del dispositivo e generare operazioni DMA che producano eventi IOMMU sull'hardware interessato. In pratica serve già un hypervisor compromesso e privilegi elevati: non è una falla sfruttabile da remoto da un utente qualunque della VM.

Chi usa SEV-SNP su EPYC dovrebbe comunque sapere che, secondo il bollettino di AMD, la mitigazione richiede sia un aggiornamento del firmware SEV sia un aggiornamento specifico del sistema operativo, e vanno applicati entrambi.

Oltre a questo, l'avviso raggruppa decine di altre correzioni minori sparse su praticamente ogni sottosistema del kernel (storage, rete, filesystem, driver USB, Bluetooth, crittografia, virtualizzazione).

Pacchetti e versioni

Pacchetto	Versione corretta
linux-image-6.8.0-1069-azure-fde	6.8.0-1069.76
linux-image-6.8.0-1071-azure	6.8.0-1071.79
linux-image-6.8.0-1071-azure-fips	6.8.0-1071.79+fips1 (richiede Ubuntu Pro)

Attenzione al reboot e ai moduli

Come per ogni aggiornamento kernel, serve il riavvio della macchina per rendere effettive le modifiche. In questo caso l'avviso segnala un cambio di ABI: chi ha installato moduli kernel di terze parti deve ricompilarli e reinstallarli. Se non sono stati rimossi manualmente i metapackage standard (linux-generic, linux-virtual e simili), l'aggiornamento di sistema gestisce la cosa in automatico.

La copertura di sicurezza a dieci anni su Main e Universe, compreso l'accesso alle build FIPS, resta legata a Ubuntu Pro, gratuito fino a cinque macchine.