USN-8945-1: Ubuntu corregge una falla in XZ Utils su tutte le release supportate

Ubuntu ha pubblicato il 20 ottobre 2026 l'avviso USN-8945-1, che corregge una vulnerabilità nel pacchetto xz-utils presente su tutte le release attualmente supportate. Riguarda chiunque gestisca un server Linux: liblzma è la libreria usata per decomprimere archivi .xz, .lzma e formati correlati, ed è una dipendenza praticamente universale.

Il problema

La falla consiste in una scrittura di memoria invalida durante la reinizializzazione del decoder dopo un fallimento di allocazione (LP: #2170056). In pratica: se un'applicazione riusa un decoder xz dopo che un'allocazione di memoria è fallita, può verificarsi una scrittura fuori dai limiti previsti. Secondo l'avviso Ubuntu, un attaccante potrebbe sfruttare la cosa per causare un denial of service o, in condizioni specifiche, eseguire codice arbitrario.

Il bug non è nuovo: è lo stesso tracciato a monte dal progetto XZ Utils come GHSA-5qpq-xqfv-j9pg, scoperto dall'agente di sicurezza automatizzato Apex di Cantina Security. Upstream lo ha già corretto con il rilascio di XZ Utils 5.8.4, pubblicato il 9 settembre 2026, che riguarda percorsi di decodifica selezionati per i formati .lzma, .lz e MicroLZMA, lasciando inalterati la decodifica .xz e le API del raw decoder. Al momento non risulta un numero CVE assegnato: il changelog Debian/Ubuntu lo segnala esplicitamente come privo di CVE.

Versioni corrette

Release Ubuntu	Nome in codice	Versione corretta
26.10	stonking	5.8.3-1ubuntu1
26.04 LTS	resolute	5.8.3-1ubuntu0.1
24.04 LTS	noble	5.6.1+really5.4.5-1ubuntu0.4
22.04 LTS	jammy	5.2.5-2ubuntu1.2
20.04 LTS	focal	5.2.4-1ubuntu1.1+esm2 (richiede Ubuntu Pro)
18.04 LTS	bionic	5.2.2-1.3ubuntu0.1+esm2 (richiede Ubuntu Pro)
16.04 LTS	xenial	5.1.1alpha+20120614-2ubuntu2.16.04.1+esm3 (Ubuntu Pro + Legacy Support)
14.04 LTS	trusty	5.1.1alpha+20120614-2ubuntu2.14.04.1+esm3 (Ubuntu Pro + Legacy Support)

I pacchetti interessati sono liblzma5, xz-utils e xzdec.

Cosa fare

Su tutte le release ancora in supporto standard basta il normale ciclo di aggiornamento:

sudo apt update && sudo apt upgrade

Per 20.04, 18.04, 16.04 e 14.04 la patch è disponibile solo con un abbonamento Ubuntu Pro, gratuito fino a cinque macchine. Dopo l'aggiornamento non serve riavviare i servizi uno per uno: un riavvio del sistema o dei processi che linkano liblzma (quasi tutti, tra cui molti gestori di pacchetti e tool di backup) basta a caricare la libreria corretta.