USN-8987-1: Ubuntu corregge due falle storiche in libuser su 16.04

Canonical ha pubblicato il 3 novembre 2026 l'avviso USN-8987-1, che corregge due vulnerabilità nel pacchetto libuser su Ubuntu 16.04 LTS (xenial). Per chi gestisce ancora server su questa release, la notizia conta soprattutto per capire chi riceve davvero la patch.

Le due falle

Si tratta di due CVE datate 2015, tornate a galla nell'ultimo giro di manutenzione Legacy. La prima: è stato scoperto che libuser non convalidava correttamente il campo GECOS durante la modifica delle informazioni utente, e un attaccante locale poteva potenzialmente sfruttare questo problema per corrompere il file passwd, causando un denial of service (CVE-2015-3245).

La seconda riguarda il modo in cui il pacchetto scrive le modifiche: è stato scoperto che libuser modificava il file passwd sul posto durante l'aggiornamento delle informazioni utente, e un attaccante locale poteva potenzialmente sfruttare questo problema per causare uno stato incoerente del file, risultando in un denial of service, o potenzialmente scalare i privilegi (CVE-2015-3246).

Chi riceve la patch e come

La correzione riguarda il pacchetto libuser1, portato alla versione 1:0.60dfsg-1.2ubuntu0.1esm1 su Ubuntu 16.04 xenial. Il suffisso ~esm1 non è un dettaglio: indica che l'aggiornamento arriva solo tramite il canale ESM, non con un comando apt upgrade qualunque su un sistema non abbonato.

Il motivo è nel calendario del supporto. Ubuntu 16.04 è uscito dal supporto ESM standard ad aprile 2026 ed è entrato nella fase Legacy, che copre gli anni dal decimo al quindicesimo del ciclo vita e arriva fino ad aprile 2031, come indicato dalla pagina ufficiale della release. Senza l'add-on Legacy attivo su Ubuntu Pro, questa patch — come le prossime su 16.04 — non arriva.

Chi amministra ancora macchine xenial può verificare il proprio stato di abbonamento con sudo pro status --all e, se necessario, contattare Canonical per attivare la copertura Legacy. Per chi non ha urgenze di compatibilità, resta comunque sul tavolo l'opzione più semplice: pianificare la migrazione a una release più recente, visto che da 16.04 non esiste un percorso di upgrade diretto verso le LTS più moderne.