USN-8955-1: Ubuntu corregge cinque falle in nginx, una bypassa i certificati client

Ubuntu ha pubblicato il 26 ottobre 2026 l'avviso USN-8955-1, che corregge cinque vulnerabilità in nginx su tutte le release supportate: 22.04 LTS, 24.04 LTS, 26.04 LTS e 26.10. Per chi gestisce un web server o un reverse proxy in produzione, l'aggiornamento è da programmare subito: tre delle cinque falle permettono un crash con conseguente denial of service o, nel peggiore dei casi, l'esecuzione di codice arbitrario.

Le cinque CVE

Le vulnerabilità corrette sono:

• CVE-2026-15176: gestione scorretta della direttiva alias insieme a regole rewrite, con rischio di crash o esecuzione di codice.
• CVE-2026-93479: gestione scorretta delle direttive map con matching regex, stesso rischio della precedente.
• CVE-2026-95101: gestione scorretta delle richieste HTTP/3 quando proxy_request_buffering è attivo; un attaccante remoto può iniettare dati nelle richieste proxate. Colpisce solo 26.04 LTS e 26.10.
• CVE-2026-97205: gestione scorretta dell'I/O asincrono su file in configurazioni con pagine Server Side Includes, con rischio di crash o esecuzione di codice.
• CVE-2026-97629: gestione scorretta delle chiavi dei session ticket SSL quando è configurata una cache di sessione condivisa senza rotazione esplicita delle chiavi; un attaccante remoto può forgiare sessioni SSL client e aggirare la verifica dei certificati client. Colpisce 24.04 LTS, 26.04 LTS e 26.10.

Su quest'ultima vale la pena un chiarimento tecnico, assente nell'avviso Ubuntu: la falla nasce da un bug nella rotazione delle chiavi dei ticket, dove viene copiato solo un sottoinsieme degli slot di memoria destinati ai worker nginx, lasciando uno slot a valore prevedibile. L'advisory ufficiale di nginx.org colloca il problema nelle versioni upstream 1.23.2-1.31.6, risolto in 1.31.7 e 1.30.6: un dato utile per chi compila nginx da sorgente invece di usare i pacchetti distro. La condizione di esposizione è specifica: riguarda solo chi usa ssl_session_cache shared affidandosi alla rotazione automatica delle chiavi senza impostare un file ssl_session_ticket_key esplicito.

Versioni corrette

Release	Codename	Versione pacchetto
26.10	stonking	1.30.4-7ubuntu1.1
26.04 LTS	resolute	1.28.3-2ubuntu1.12
24.04 LTS	noble	1.24.0-2ubuntu7.19
22.04 LTS	jammy	1.18.0-6ubuntu14.22

I pacchetti interessati sono nginx, nginx-core, nginx-extras, nginx-full e nginx-light. Un apt update && apt upgrade sulle macchine con nginx installato applica la correzione; dove si usano repository Ubuntu Pro, la copertura si estende ad altri pacchetti correlati.