USN-8997-1: Ubuntu corregge un DoS in Net-SNMP nel modulo SMUX

Ubuntu ha pubblicato il 4 novembre 2026 l'avviso USN-8997-1 per una falla di denial of service in Net-SNMP, il pacchetto più diffuso per il monitoraggio SNMP su server Linux. Chi tiene snmpd esposto su rete per il monitoraggio di switch, storage o altri apparati dovrebbe aggiornare a breve.

Cosa dice l'avviso

Secondo Ubuntu, Net-SNMP attraverso la versione 5.9.5.2 contiene una vulnerabilità di denial of service nel modulo SMUX dove smux_accept() esegue una lettura bloccante non autenticata senza timeout sulle nuove connessioni accettate. In pratica un client remoto non autenticato può connettersi al listener SMUX e inviare nessun dato, causando il blocco indefinito del ciclo principale single-thread di snmpd e la sospensione di tutta l'elaborazione SNMP.

La falla, identificata come CVE-2026-89147, ha un punteggio CVSS 3.1 di 7.5, classificato come alto. Al momento della scoperta non risultavano exploit pubblici noti.

Pacchetti e versioni corrette

Release Ubuntu	Pacchetti	Versione corretta
26.04 LTS (resolute)	libsnmp40t64, snmp, snmpd	5.9.4+dfsg-2ubuntu3.1
24.04 LTS (noble)	libsnmp40t64, snmp, snmpd	5.9.4+dfsg-1.1ubuntu3.3
22.04 LTS (jammy)	libsnmp40, snmp, snmpd	5.9.1+dfsg-1ubuntu2.10

Un aggiornamento standard del sistema (apt update && apt upgrade) applica le correzioni su tutte e tre le release.

Mitigazione se non si può aggiornare subito

Per chi non può applicare la patch nell'immediato, una possibile riduzione del rischio è disabilitare il modulo SMUX se non serve, oppure restringerlo a peer di gestione esplicitamente autorizzati, dato che il protocollo SMUX (definito in RFC 1227) serve a far registrare subagent presso l'agente principale snmpd via TCP e in molti ambienti non viene mai usato.

Vale la pena controllare se snmpd è esposto oltre il localhost: in quel caso la finestra di rischio resta aperta fino all'aggiornamento o alla disabilitazione del modulo.