USN-8947-1: Ubuntu rimuove le CA emSign e Comodo compromesse anche da NSS

Ubuntu ha pubblicato il 21 ottobre 2026 l'avviso USN-8947-1, che aggiorna il pacchetto nss (libreria Network Security Service) su tutte le release supportate, da 14.04 LTS a 26.10. L'aggiornamento rimuove dal trust store di NSS le CA "emSign ECC Root CA - G3" e "Comodo AAA Services root", perché alcune CA intermedie che vi facevano capo risultano con chiavi private compromesse. Riguarda chi gestisce server con Firefox, Thunderbird o altre applicazioni che si appoggiano direttamente a libnss3, non solo i siti web serviti da quel server.

Perché è un pacchetto diverso da quello già corretto

Ubuntu aveva già risolto lo stesso problema sul bundle di sistema con l'aggiornamento di ca-certificates. NSS però mantiene un proprio elenco di CA fidate, separato da quello usato da OpenSSL e curl: per questo serve un secondo intervento. Come spiegato dal team di sicurezza Ubuntu, due root CA incrociate, emSign Root TLS CA – G3 e Comodo AAA Certificate Services, sono state rimosse dal trust store perché garantivano fiducia alla CA eMudhra compromessa, con il rischio, per quanto limitato, che alcuni host diventino irraggiungibili per via dell'uso del certificato revocato.

La causa a monte, secondo la ricostruzione di InfoQ, è che le chiavi private di otto certificati CA intermedi eMudhra sono risultate compromesse, rendendo possibile la contraffazione di certificati per qualsiasi sito; le chiavi sono state individuate per bassa entropia, non per una violazione nota.

Versioni corrette per release

Release	Codename	Pacchetto	Versione corretta	Note
26.10	stonking	libnss3	2:3.127-1ubuntu0.1	—
26.04 LTS	resolute	libnss3	2:3.120-1ubuntu2.2	—
24.04 LTS	noble	libnss3	2:3.98-1ubuntu0.3	—
22.04 LTS	jammy	libnss3	2:3.98-0ubuntu0.22.04.5	—
20.04 LTS	focal	libnss3	2:3.98-0ubuntu0.20.04.2+esm2	richiede Ubuntu Pro
18.04 LTS	bionic	libnss3	2:3.35-2ubuntu2.16+esm2	richiede Ubuntu Pro
16.04 LTS	xenial	libnss3 / libnss3-1d / libnss3-nssdb	2:3.28.4-0ubuntu0.16.04.14+esm6	Ubuntu Pro, add-on Legacy Support
14.04 LTS	trusty	libnss3 / libnss3-1d / libnss3-nssdb	2:3.28.4-0ubuntu0.14.04.5+esm14	Ubuntu Pro, add-on Legacy Support

Su sistemi 22.04 LTS e più recenti basta il comando sudo apt update && sudo apt upgrade o l'aggiornamento guidato. Il bug di riferimento è tracciato su Launchpad al numero 2171737. Chi gestisce server con release più vecchie di 22.04 deve verificare di avere un abbonamento Ubuntu Pro attivo, condizione necessaria per ricevere la patch.