USN-8966-1: Ubuntu corregge due falle del 2021 nel kernel di 14.04 e 16.04

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso di sicurezza USN-8966-1, che corregge due vulnerabilità nel kernel Linux per le versioni 16.04 LTS e 14.04 LTS. Riguarda chi tiene ancora in produzione questi sistemi sotto Extended Security Maintenance, tipicamente macchine legacy che non si sono ancora spostate su release più recenti.

Le due falle

La prima, CVE-2021-28714, riguarda il driver di rete backend per Xen. I pacchetti di dati in arrivo per un guest nel driver netback del kernel Linux vengono accumulati in buffer finché il guest non è pronto a elaborarli, e il timeout che dovrebbe limitare l'accumulo è di 60 secondi per impostazione predefinita. Un attaccante dentro una VM guest può sfruttare la cosa per causare un esaurimento della memoria del kernel nel dominio che gestisce la rete. La falla fa parte dell'advisory Xen XSA-392, reso pubblico il 20 dicembre 2021 insieme alla correlata CVE-2021-28715. Il punteggio assegnato dalla comunità è 6.5 su CVSS 3.1, severità media.

La seconda, CVE-2021-3640, sta nel sottosistema Bluetooth del kernel: una condizione di use-after-free che un attaccante locale può sfruttare per causare un crash di sistema o, in alcuni casi, eseguire codice arbitrario. Sulla pagina ufficiale Ubuntu Security la falla è classificata con priorità High e punteggio CVSS 3.1 pari a 7.0.

Pacchetti e versioni

L'aggiornamento tocca i pacchetti linux, linux-aws, linux-fips, linux-kvm e linux-lts-xenial. Su 16.04 LTS (xenial) si arriva, tra gli altri, a linux-image-generic 4.4.0.290.296 e a linux-image-fips 4.4.0.1131.133; su 14.04 LTS (trusty) a linux-image-generic-lts-xenial 4.4.0.290.324~14.04.1 e a linux-image-aws 4.4.0.1161.158.

Cosa fare

Dopo l'aggiornamento serve un riavvio per rendere effettive le modifiche. L'avviso segnala inoltre che il cambio di ABI richiede di ricompilare e reinstallare qualsiasi modulo kernel di terze parti, a meno che il sistema non usi i metapackage standard (linux-generic e simili), nel qual caso l'operazione avviene da sola durante l'upgrade.

Per la gran parte dei pacchetti elencati, su entrambe le release, la correzione risulta disponibile solo con Ubuntu Pro tramite l'add-on Legacy Support; fa eccezione la linea FIPS Updates, coperta dal normale abbonamento Ubuntu Pro.