USN-8957-1: authd, bug permette di ereditare file di un altro utente

Canonical ha pubblicato il 27 ottobre 2026 l'avviso USN-8957-1 per una vulnerabilità in authd, il demone che su Ubuntu gestisce l'autenticazione verso provider di identità cloud come Microsoft Entra ID e Google Cloud IAM. Riguarda chi ha già messo in produzione authd al posto delle classiche utenze locali in /etc/passwd, scelta che Canonical sta spingendo come predefinita a partire dalla serie 26.04 LTS.

Cosa fa il bug

Il pacchetto interessato è authd, con patch upstream disponibile su github.com/canonical/authd/pull/2067. Secondo la scheda CVE, in authd prima della 0.7.1 il matching dell'identità utente in UpdateUser risolve un login in arrivo tramite il provider ID scoped al broker, ma ricade sul confronto per username quando il provider ID non corrisponde a nessun utente noto, e non respinge un provider ID in conflitto non vuoto.

In pratica, se un provider di identità riassegna un indirizzo email, che authd usa come username, a un nuovo account, quel nuovo account eredita l'UID locale e la home directory dell'utente precedente al login successivo. Questo permette al nuovo utente di accedere e modificare i file dell'utente precedente, incluse credenziali come chiavi SSH e token API cloud, e ribinda silenziosamente il record dell'account locale alla nuova identità.

Il CVE associato è CVE-2026-102631, con punteggio CVSS di 5.9/10 (severità MEDIUM) e vettore CVSS:4.0/AV:L/AC:H/AT:P/PR:N/UI:N/VC:H/VI:L/VA:N/SC:N/SI:N/SA:N, che indica accesso locale, complessità d'attacco alta ma impatto alto sulla riservatezza del sistema vulnerabile.

Chi è esposto e cosa fare

L'avviso Ubuntu copre la release 26.10, dove authd su 26.04 LTS risulta vulnerabile, mentre su 24.04 LTS e 22.04 LTS il pacchetto non è presente in release. La versione corretta è la 0.7.1. Dopo l'aggiornamento standard del sistema occorre riavviare authd perché le modifiche abbiano effetto.

Chi non può aggiornare subito ha una mitigazione aggiuntiva indicata nella scheda CVE: bloccare o cancellare l'account locale authd dell'utente precedente quando il corrispondente account IdP viene rimosso, così da evitare che un nuovo account con la stessa email erediti UID e home.

Per chi usa Ubuntu Pro, la copertura di sicurezza estesa sui pacchetti di Main e Universe resta gratuita fino a cinque macchine, come indicato nella pagina dell'avviso.