USN-8930-2: Ubuntu estende a 26.10 la patch U-Boot già rilasciata per le LTS

Ubuntu ha pubblicato il 21 ottobre 2026 l'avviso USN-8930-2, che corregge su Ubuntu 26.10 le stesse vulnerabilità di U-Boot già risolte una settimana prima sulle release LTS. Chi gestisce sistemi che avviano macchine virtuali ARM via QEMU o schede embedded basate su i.MX trova qui l'aggiornamento mancante per l'ultima versione interim di Ubuntu.

Cosa cambia rispetto a USN-8930-1

L'avviso originale USN-8930-1, pubblicato il 14 ottobre 2026, segnalava diversi problemi di sicurezza corretti in U-Boot sulle release 26.04 LTS, 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS e 16.04 LTS. USN-8930-2 non introduce nuove falle: fornisce la correzione corrispondente per U-Boot su Ubuntu 26.10, release che non era inclusa nel primo giro di patch.

Le vulnerabilità corrette sono tre, con quattro identificativi CVE. U-Boot gestiva in modo scorretto alcune risposte NFS READ e NFS READLINK: un attaccante poteva sfruttare il problema per innescare un buffer overflow, con conseguente denial of service o esecuzione di codice arbitrario (CVE-2026-74220, CVE-2026-74221). Una seconda falla riguarda la gestione scorretta di alcuni fallimenti nella memorizzazione dati HTTP nell'implementazione lwIP, che poteva portare a un use-after-free e denial of service; questo problema colpiva solo Ubuntu 24.04 LTS e Ubuntu 26.04 LTS. La terza falla nasce dalla mancata validazione di alcune lunghezze delle opzioni DHCPv6 durante il network boot, con rischio di accesso fuori dai limiti di memoria e denial of service, anch'essa limitata a 24.04 LTS e 26.04 LTS (CVE-2026-74225).

Pacchetti e versioni per Ubuntu 26.10

Per chi usa Ubuntu 26.10 "stonking", i pacchetti da aggiornare sono u-boot-imx, u-boot-qemu e u-boot-tools, tutti portati alla versione 2025.10-0ubuntu6. Un normale aggiornamento di sistema applica le modifiche necessarie; non risultano procedure manuali aggiuntive indicate nell'avviso.

Chi deve preoccuparsene

U-Boot non è il bootloader dei tipici server x86 in hosting, ma è diffuso su cloud e dispositivi ARM, su schede i.MX e in ambienti di test basati su QEMU. Chi fa provisioning di istanze ARM o lavora su infrastrutture embedded collegate a servizi self-hosted dovrebbe verificare la versione installata con dpkg -l | grep u-boot e procedere con l'aggiornamento.