USN-8968-1: Ubuntu 14.04 chiude una falla Bluetooth del 2021, solo con Legacy add-on

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8968-1, che riguarda esclusivamente Ubuntu 14.04 LTS (Trusty Tahr). Chi tiene ancora in produzione questa versione, di solito per vincoli applicativi che impediscono l'aggiornamento, deve sapere che la patch non è più gratuita da anni: serve una sottoscrizione Ubuntu Pro con il Legacy Support add-on.

La falla

L'avviso corregge il CVE-2021-3640, una vulnerabilità use-after-free nel sottosistema Bluetooth del kernel. Il sottosistema Bluetooth del kernel Linux conteneva una vulnerabilità use-after-free: un attaccante locale poteva sfruttarla per causare un denial of service (crash del sistema) o, potenzialmente, eseguire codice arbitrario. Il problema sta nella funzione sco_sock_sendmsg(): una ricerca su database CVE indipendenti indica che la vulnerabilità nasce da una race condition nell'implementazione Bluetooth SCO, dove l'oggetto conn viene rilasciato con kfree() e un altro thread controllato dall'attaccante può attendere questa chiamata per innescare la condizione di use-after-free. Il punteggio CVSS 3.1 è 7.0, severità High.

L'avviso cita anche il CVE-2022-49058, descritto genericamente come un gruppo di correzioni nel sottosistema "file systems infrastructure", senza ulteriori dettagli tecnici nel testo pubblicato.

Pacchetto e versione

La correzione arriva con l'aggiornamento di linux-image-3.13.0-219-generic alla versione 3.13.0-219.270 (e dei pacchetti correlati lowlatency, server, virtual). Dopo l'aggiornamento serve il riavvio della macchina; chi usa moduli kernel di terze parti deve ricompilarli, per via del cambio di ABI.

Chi può installarla

Qui sta il punto operativo: tutte le voci del pacchetto nella tabella ufficiale riportano la dicitura "Fix available with Ubuntu Pro via Legacy Support add-on". Senza quella sottoscrizione, l'aggiornamento non è disponibile. Ubuntu 14.04 ha chiuso il supporto standard nel 2019 e l'Expanded Security Maintenance (ESM) nell'aprile 2024; da allora resta in piedi solo grazie al Legacy add-on, che secondo il blog ufficiale Canonical porta Ubuntu 14.04 LTS a una copertura fino ad aprile 2029, un totale di 15 anni dal debutto. Il costo di questo add-on, sempre secondo Canonical, è disponibile dopo i primi 10 anni di copertura e ha un prezzo maggiorato del 50% rispetto a Ubuntu Pro standard.

Chi gestisce ancora server Trusty in produzione dovrebbe comunque pianificare la migrazione: resta una base software del 2014, e ogni nuova patch di sicurezza arriva solo a pagamento.