USN-8962-1: Ubuntu corregge oltre 300 CVE nel kernel delle VM confidenziali Azure

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8962-1, che riguarda il pacchetto linux-azure-fde, il kernel Linux per i sistemi cloud Microsoft Azure CVM, limitatamente a Ubuntu 22.04 LTS (jammy). Chi gestisce VM confidenziali su Azure con questa distribuzione deve pianificare l'aggiornamento.

Cosa corregge

Tra le falle elencate spicca una vulnerabilità non recente: Duoming Zhou ha scoperto race condition nell'implementazione del protocollo radioamatoriale AX.25 nel kernel Linux, che portano a vulnerabilità use-after-free; un attaccante locale potrebbe usarle per causare un denial of service (crash di sistema), identificata come CVE-2022-1205. Il resto del bollettino è un aggiornamento cumulativo: diversi problemi di sicurezza sono stati scoperti nel kernel Linux, che un attaccante potrebbe usare per compromettere il sistema, con correzioni che toccano decine di sottosistemi, dai driver USB e Bluetooth ai filesystem Btrfs, Ext4, XFS e NFS, fino alle pile di rete IPv4/IPv6, Netfilter e Bluetooth. Contando i riferimenti pubblicati nel bollettino, le CVE coinvolte superano le 300.

Perché riguarda proprio le CVM

Il pacchetto non è il kernel Azure generico ma quello dedicato alle confidential VM, pensate per workload regolamentati. Secondo la documentazione ufficiale di Ubuntu su Azure, la memoria è sempre cifrata tramite il TEE in una confidential VM, mentre la full disk encryption (FDE) è opzionale e richiede un'attivazione esplicita dopo il provisioning della VM. Quando è attiva, Ubuntu cifra e decifra tutti i dati scritti su disco con AES e valida ogni passo del boot tramite UEFI secure boot, con la chiave di cifratura del disco conservata in forma cifrata sul disco virtuale stesso, legata al vTPM dell'istanza.

Istruzioni di aggiornamento

Le versioni corrette sono: linux-image-5.15.0-1124-azure-fde – 5.15.0-1124.133, linux-image-azure-fde-5.15 – 5.15.0.1124.133, linux-image-azure-fde-lts-22.04 – 5.15.0.1124.133. Canonical segnala che il cambio ABI impone di ricompilare e reinstallare eventuali moduli kernel di terze parti, operazione automatica con un aggiornamento standard a meno che i metapacchetti standard (linux-generic e simili) siano stati rimossi manualmente. Dopo l'aggiornamento è necessario riavviare la macchina.