USN-8970-1: tre falle in GVfs su Ubuntu, da fuga dati a DoS

Ubuntu ha pubblicato il 3 novembre 2026 l'avviso di sicurezza USN-8970-1, che corregge tre vulnerabilità in GVfs, il livello di virtual filesystem in userspace usato da GNOME per montare risorse remote (SFTP, SMB, AFP, dispositivi MTP) come fossero cartelle locali. Chi gestisce workstation Ubuntu con desktop GNOME, o macchine di sviluppo con GNOME Files (Nautilus) attivo, deve applicare la patch.

Le tre falle

Secondo l'avviso ufficiale Ubuntu, è stato scoperto che GVfs non validava correttamente i dati restituiti da un server SFTP, e un attaccante remoto poteva potenzialmente usare questo problema per ottenere informazioni sensibili (CVE-2026-84267). Sempre secondo l'avviso, GVfs non validava correttamente la dimensione delle risposte da un server AFP, e un attaccante remoto poteva potenzialmente usare questo problema per causare un denial of service (CVE-2026-84269). Terza falla: GVfs non validava correttamente la dimensione dei dati restituiti da un dispositivo MTP, e un attaccante con un dispositivo MTP malevolo poteva potenzialmente usare questo problema per causare un denial of service (CVE-2026-84270).

Il bersaglio pratico: un client che monta una condivisione SFTP o AFP controllata da un server ostile, oppure una chiavetta/telefono MTP preparato ad arte collegato alla macchina.

Versioni corrette e come aggiornare

Release Ubuntu	Nome in codice	Versione pacchetto gvfs
26.04 LTS	resolute	1.60.0-1ubuntu0.2
24.04 LTS	noble	1.54.4-0ubuntu1~24.04.5
22.04 LTS	jammy	1.48.2-0ubuntu1.3

Dopo l'aggiornamento standard del sistema serve riavviare la sessione utente per rendere effettive tutte le modifiche, come indicato nelle istruzioni dell'avviso.

Chi deve preoccuparsene davvero

GVfs è un componente desktop GNOME, non un servizio tipicamente presente su server headless: chi gestisce solo VPS o box senza interfaccia grafica può ignorare l'avviso. Resta rilevante per chi amministra workstation di sviluppo, postazioni in ufficio con GNOME, o immagini desktop Ubuntu Pro usate in produzione.

Ubuntu Pro, ricorda l'avviso, offre copertura di sicurezza decennale su oltre 25.000 pacchetti dei repository Main e Universe, gratuita fino a cinque macchine.