USN-8950-1: Ubuntu corregge un buffer overflow in poppler

Ubuntu ha pubblicato il 21 ottobre 2026 l'avviso USN-8950-1 per una vulnerabilità nella libreria poppler, usata per il rendering e l'elaborazione di file PDF. Riguarda tutte le release attualmente supportate: 26.10, 26.04 LTS, 24.04 LTS e 22.04 LTS. Per chi gestisce server Ubuntu interessa perché poppler è spesso una dipendenza di strumenti di conversione documenti, script di generazione fatture o pannelli che producono PDF lato server.

Cosa dice l'avviso

Secondo l'avviso ufficiale, la correzione riguarda uno stack overflow legato a una password lunga, applicando correttamente il limite di lunghezza della password in poppler/Decrypt.cc. Il problema è tracciato come CVE-2026-107705.

Scendendo nei dettagli tecnici pubblicati nel database CVE, si tratta di un buffer overflow basato su stack in Decrypt::revision6Hash() che permette a chi controlla la password di sovrascrivere memoria stack aprendo PDF cifrati AESV3/R6. Nello specifico, un attaccante può fornire una password più lunga di 127 byte attraverso applicazioni che usano le API libpoppler, libpoppler-glib o C++, mandando in overflow i buffer K1 ed E, con conseguente crash del processo o corruzione di memoria.

Sul piano della gravità, le valutazioni pubbliche indicano un CVSS 3.1 di 6.5 su 10 e un CVSS 4.0 di 8.3 su 10, con impatto limitato a disponibilità e integrità.

Versioni corrette e come aggiornare

Release Ubuntu	Pacchetto	Versione corretta
26.10 (stonking)	libpoppler162	26.07.0-2ubuntu1.1
26.04 LTS (resolute)	libpoppler156	26.01.0-2ubuntu0.3
24.04 LTS (noble)	libpoppler134	24.02.0-1ubuntu9.11
22.04 LTS (jammy)	libpoppler118	22.02.0-2ubuntu0.15

L'aggiornamento si applica con un normale apt update && apt upgrade. Chi usa Ubuntu Pro ottiene copertura di sicurezza estesa fino a dieci anni anche su pacchetti Universe; il piano è gratuito fino a cinque macchine.

Non risultano exploit pubblici noti al momento della pubblicazione dell'avviso.