USN-8953-1: Ubuntu corregge in OpenVPN una falla che permette di impersonare utenti

Ubuntu ha pubblicato il 22 ottobre 2026 l'avviso USN-8953-1 per il pacchetto openvpn, usato su molte VPN aziendali e su server che fanno da gateway per reti private. Riguarda chi gestisce accessi remoti con certificati client: un bug nella gestione del campo subject del certificato permette a un utente autenticato di spacciarsi per un altro.

Il difetto

È stato scoperto che OpenVPN gestiva in modo scorretto i campi subject dei certificati. Un utente remoto autenticato poteva potenzialmente sfruttare questo problema per impersonare altri utenti. Il riferimento è CVE-2026-84790.

Il meccanismo, descritto nel changelog upstream del progetto OpenVPN, è un byte NUL incorporato nel campo subject del certificato: CVE-2026-84790 sfruttava un NUL incorporato nel campo subject per far apparire un certificato come un'altra identità. Il problema colpiva in pratica solo i build basati su OpenSSL, perché mbedTLS rifiutava già questo tipo di certificati. La segnalazione upstream porta la firma di Vivek Parikh di BreachX, con la patch scritta da Max Fillinger, secondo quanto riportato nelle note di rilascio di OpenVPN 2.7.8.

CVE-2026-84790 copre le versioni dalla 2.3.0 alla 2.7.7 su tutte le piattaforme, quindi non si tratta di un problema limitato alle release più recenti: chi ha installazioni OpenVPN datate è esposto comunque.

Pacchetti e versioni corrette

Release Ubuntu	Nome in codice	Versione openvpn corretta
26.10	stonking	2.7.7-1ubuntu1.1
26.04 LTS	resolute	2.7.0-1ubuntu1.4
24.04 LTS	noble	2.6.19-0ubuntu0.24.04.5
22.04 LTS	jammy	2.5.11-0ubuntu0.22.04.6

Fonte: avviso ufficiale Ubuntu USN-8953-1, pubblicato il 22 ottobre 2026.

Cosa fare

Dopo l'aggiornamento standard del sistema bisogna riavviare OpenVPN per rendere effettive tutte le modifiche necessarie. Su Ubuntu:

sudo apt update && sudo apt install openvpn
sudo systemctl restart openvpn@<nome-configurazione>

Per chi vuole verificare che la patch funzioni davvero e non solo che il numero di versione sia aggiornato, il test pratico è emettere un certificato con un byte NUL nel common name e provare ad autenticarsi: se il server lo accetta, qualcosa nella catena di build non è stato aggiornato correttamente.

Chi usa Ubuntu Pro ha copertura di sicurezza decennale su oltre 25.000 pacchetti in Main e Universe, gratuita fino a 5 macchine, secondo quanto indicato dallo stesso avviso Ubuntu.