USN-8951-1: Ubuntu corregge quattro falle DoS in c-ares, la libreria DNS di Node.js e curl

Canonical ha pubblicato il 21 ottobre 2026 l'avviso USN-8951-1, con le patch per quattro vulnerabilità nella libreria c-ares, usata per la risoluzione asincrona dei nomi DNS. Riguarda chi gestisce VPS e server Ubuntu perché c-ares non è solo un resolver di sistema: è la libreria che Node.js usa per le chiamate dns.resolve4(), dns.resolve6() e le altre resolve*(), e che curl supporta come backend di risoluzione asincrona insieme al resolver nativo via thread. Chi ha compilato curl con --enable-ares o fa girare servizi Node.js che risolvono molti nomi in parallelo ha questa libreria nel percorso critico.

Le quattro falle

Secondo l'avviso ufficiale, i problemi corretti sono:

CVE	Problema	Release coinvolte
CVE-2020-22217	c-ares incorrectly parsed certain SOA replies, causing possible crash e denial of service	Solo 16.04 e 18.04 LTS
CVE-2022-4904	gestione errata di certe stringhe sortlist, con possibile crash o esecuzione di codice arbitrario	Solo 16.04 LTS
CVE-2026-69184	mancato limite ai salti di compressione DNS o alla lunghezza dei nomi assemblati, con uso eccessivo di risorse	Tutte le release
CVE-2026-69186	validazione mancante dei campi di conteggio dei record prima di allocare memoria, con uso eccessivo di risorse	Solo 24.04 e 26.04 LTS

Le due falle più recenti sono quelle che interessano le installazioni moderne: colpiscono la fase di parsing delle risposte DNS e possono portare a denial of service per esaurimento risorse, non a esecuzione di codice remoto.

Versioni corrette e come aggiornare

L'avviso ufficiale indica queste versioni di pacchetto come risolutive:

Release	Pacchetto	Versione
26.04 LTS (resolute)	libcares2	1.34.6-1ubuntu0.2
24.04 LTS (noble)	libcares2	1.27.0-1.0ubuntu1.1
22.04 LTS (jammy)	libc-ares2	1.18.1-1ubuntu0.22.04.4
20.04 LTS (focal)	libc-ares2	1.15.0-1ubuntu0.5+esm1 (richiede Ubuntu Pro)
18.04 LTS (bionic)	libc-ares2	1.14.0-1ubuntu0.2+esm3 (richiede Ubuntu Pro)
16.04 LTS (xenial)	libc-ares2	1.10.0-3ubuntu0.2+esm4 (richiede Ubuntu Pro via Legacy Support)

Su chi gestisce 20.04 e versioni precedenti senza abbonamento Pro, la patch non è disponibile nei repository standard. Su 22.04, 24.04 e 26.04 basta il consueto apt update && apt upgrade. Dopo l'aggiornamento conviene riavviare i servizi che linkano libcares2, non solo il sistema: i processi già in esecuzione tengono in memoria la vecchia libreria finché non vengono ricaricati.