USN-8967-1: Ubuntu corregge DoS nel kernel AWS di 16.04, serve reboot

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8967-1, che corregge una falla di tipo denial of service nel kernel linux-aws per Ubuntu 16.04 LTS. Riguarda chi tiene ancora in produzione istanze EC2 con xenial e il kernel ottimizzato per AWS: se è il vostro caso, il reboot non è opzionale.

Il problema

Il bug è stato scoperto da Jürgen Groß e riguarda il driver Xen network backend del kernel Linux. Il driver non limitava adeguatamente la quantità di pacchetti in coda quando un guest non li processava. Un attaccante dentro una VM guest può sfruttare questo per causare un denial of service da consumo eccessivo di memoria del kernel nel dominio che gestisce la rete, cioè nell'host che ospita le VM, non nella VM stessa.

La falla è tracciata come CVE-2021-28714 ed è nota da tempo: fa parte dell'advisory Xen XSA-392, dove si spiegava che il timeout dopo cui un client fermo viene considerato bloccato è piuttosto lungo, 60 secondi di default, e una connessione UDP su un'interfaccia veloce può accumulare facilmente gigabyte di dati in quel lasso di tempo. In un ambiente multi-tenant, questo significa che un singolo inquilino "rumoroso" può mettere in difficoltà l'host condiviso.

Pacchetti e versioni

L'avviso riguarda solo Ubuntu 16.04 LTS (xenial) e il pacchetto linux-aws. La versione corretta è linux-image-4.4.0-1199-aws alla 4.4.0-1199.214, con il meta-pacchetto linux-image-aws portato alla 4.4.0.1199.203. Entrambi sono disponibili solo tramite l'add-on Legacy Support di Ubuntu Pro, dato che 16.04 è fuori supporto standard da anni.

La stessa correzione, nello stesso giorno, è arrivata anche per i kernel generic, fips, kvm e lts-xenial di 16.04 e 14.04 tramite l'avviso correlato USN-8966-1, insieme a una seconda falla Bluetooth (CVE-2021-3640) non presente nella variante AWS.

Cosa fare

Dopo l'aggiornamento standard del sistema serve un riavvio per rendere effettive le modifiche. Canonical segnala che l'update comporta un cambio ABI: chi ha moduli kernel di terze parti deve ricompilarli e reinstallarli, operazione automatica se non si sono disinstallati manualmente i metapacchetti standard (linux-generic, linux-virtual e simili).

Chi gestisce ancora istanze AWS con Ubuntu 16.04 dovrebbe verificare la sottoscrizione Ubuntu Pro, necessaria per ricevere la patch, e pianificare una finestra di manutenzione per il reboot.