USN-8923-1: due falle use-after-free nel kernel di Ubuntu 14.04 e 16.04

Canonical ha pubblicato il 13 ottobre 2026 l'avviso USN-8923-1, che corregge due falle use-after-free nel kernel Linux. L'avviso riguarda solo due release ormai fuori dal supporto standard: Ubuntu 16.04 LTS (Xenial) e Ubuntu 14.04 LTS (Trusty). Chi gestisce ancora macchine su queste versioni, tipicamente per compatibilità con applicazioni legacy, deve sapere che la patch non arriva gratis.

Cosa corregge

Le vulnerabilità toccano due sottosistemi: SCSI e Bluetooth. Si tratta di CVE-2022-49114, un use-after-free nel modulo libfc (funzione fc_exch_abts_resp), e di CVE-2022-49111, un use-after-free nella funzione hci_send_acl del sottosistema Bluetooth. Secondo la scheda NVD, CVE-2022-49114 è una vulnerabilità ad alta severità con punteggio 8.8 sulla scala CVSS, e lo stesso punteggio è assegnato a CVE-2022-49111, vulnerabilità ad alta severità rated 8.8/10 sulla scala CVSS.

Pacchetti e versioni

I pacchetti coinvolti sono linux, linux-aws, linux-fips, linux-kvm e linux-lts-xenial.

Release	Pacchetto	Versione corretta
16.04 LTS	linux-image-generic	4.4.0.289.295
16.04 LTS	linux-image-aws	4.4.0.1198.202
16.04 LTS	linux-image-kvm	4.4.0.1161.158
16.04 LTS	linux-image-fips	4.4.0.1130.132
14.04 LTS	linux-image-generic-lts-xenial	4.4.0.289.323~14.04.1
14.04 LTS	linux-image-aws	4.4.0.1160.157

Chi può installarla

Tutti i pacchetti elencati nell'avviso risultano disponibili solo tramite l'add-on Legacy Support di Ubuntu Pro. Le due release sono fuori standard support da tempo: secondo la pagina ufficiale Ubuntu 16.04 è entrata in Legacy support ad aprile 2026 ed è coperta fino ad aprile 2031, mentre 14.04, con questa estensione è ora supportata fino ad aprile 2029, un periodo di 15 anni dal suo debutto. L'add-on non è incluso nell'abbonamento Pro base: secondo il blog Canonical, l'add-on Legacy è disponibile dopo i primi 10 anni di copertura, con un prezzo maggiorato del 50% rispetto a Ubuntu Pro standard.

Dopo l'aggiornamento serve il riavvio del sistema. L'avviso segnala un cambio di ABI: chi ha moduli kernel di terze parti deve ricompilarli e reinstallarli, operazione automatica solo se non sono stati rimossi manualmente i metapackage standard (linux-generic, linux-virtual e simili).