USN-8976-1: Ubuntu corregge in apt-cacher una falla HTTP response splitting del 2017

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8976-1, che chiude in apt-cacher una vulnerabilità di HTTP response splitting. Riguarda chi tiene ancora in produzione un server Ubuntu 16.04 LTS (xenial) sotto Extended Security Maintenance con apt-cacher attivo come proxy di cache per i repository Debian/Ubuntu.

Il problema

Nell'avviso, Canonical spiega che è stato scoperto che Apt-Cacher non gestiva correttamente i caratteri di newline codificati nelle richieste. Di conseguenza un aggressore remoto poteva potenzialmente sfruttare questo problema per eseguire attacchi di HTTP response splitting.

La falla è identificata come CVE-2017-7443. Dalla scheda CVE ufficiale di Ubuntu risulta che apt-cacher prima della versione 1.7.15 e apt-cacher-ng prima della 3.4 permettono HTTP response splitting tramite caratteri di newline codificati, legato alla mancata gestione dell'espressione regolare %0[ad]. Il bollettino OSV classifica la severità a 6.1 su scala CVSS 3.0, livello medio.

Non è una scoperta recente: il changelog Debian mostra che la correzione upstream per apt-cacher risale al 21 marzo 2017, con la nota: Prevent HTTP response splitting with encoded newlines in request. -- Mark Hindley Tue, 21 Mar 2017 09:52:04 +0000. Quasi dieci anni dopo, Ubuntu porta lo stesso fix sul ramo ESM di xenial, segno di quanto a lungo restino aperte le code dei pacchetti meno frequentati nei repository di lunga manutenzione.

Cosa fare

L'unica release coinvolta è 16.04 LTS. La versione corretta del pacchetto è indicata nell'avviso: 16.04 LTS xenial apt-cacher – 1.7.11ubuntu0.16.04.1~esm1.

Dopo l'aggiornamento il servizio non si riavvia da solo: Canonical ricorda che dopo un aggiornamento standard del sistema è necessario riavviare Apt-Cacher per rendere effettive tutte le modifiche necessarie. Su xenial il comando resta sudo apt update && sudo apt upgrade apt-cacher seguito da sudo systemctl restart apt-cacher.

Va ricordato che l'accesso a questo pacchetto su 16.04 richiede una sottoscrizione Ubuntu Pro, visto che la release è fuori standard support dal 2021 e segue solo il ciclo ESM.