USN-8998-1: Ubuntu corregge in Squid una falla di request smuggling HTTP

Canonical ha pubblicato il 4 novembre 2026 l'avviso USN-8998-1, che corregge in Squid una falla di tipo HTTP request smuggling. Riguarda chi ha installato il proxy cache su Ubuntu 26.04 LTS: se Squid gira in produzione come reverse proxy o cache HTTP davanti a un sito o a un servizio, la patch va applicata.

Cosa dice l'avviso

Il problema, identificato come CVE-2026-61642, nasce dalla gestione di alcuni header HTTP Transfer-Encoding. Canonical lo descrive così: Squid incorrectly handled certain HTTP Transfer-Encoding headers, e un attaccante could possibly use this issue to perform HTTP request smuggling attacks, bypass security mechanisms, or poison web caches.

Nel dettaglio tecnico pubblicato dal progetto Squid, il parser HTTP accettava un header "Transfer-Encoding: identity" bare, che la specifica HTTP vieta perché qualsiasi transfer coding deve essere incapsulato nel chunked encoding. Le versioni interessate vanno da 3.3.0.1 fino a prima della 7.6, con un punteggio CVSS 3.1 di 7.7 su 10 (severità HIGH).

Pacchetto da aggiornare

Release Ubuntu	Pacchetto	Versione corretta
26.04 LTS (Resolute Raccoon)	squid	7.7-0ubuntu0.26.04.2

Chi non può aggiornare subito può mitigare configurando Squid per rifiutare o rimuovere gli header Transfer-Encoding: identity non wrappati, come indicato nelle raccomandazioni tecniche legate al CVE.

Il contesto: non è il primo giro su Squid

Non è la prima patch Squid del mese: il 20 ottobre 2026 Canonical aveva già rilasciato USN-8941-1, che correggeva diversi problemi di sicurezza in Squid su Ubuntu 24.04 LTS, 22.04 LTS, 20.04 LTS, 18.04 LTS e 16.04 LTS. Chi gestisce più installazioni Squid su release diverse dovrebbe quindi verificare lo stato patch su tutto il parco macchine, non solo su 26.04.

Cosa fare

Su Ubuntu 26.04 LTS:

sudo apt update && sudo apt install --only-upgrade squid squid-openssl

Dopo l'aggiornamento è necessario riavviare il servizio (systemctl restart squid) perché la patch non si applica a caldo. Per chi usa Ubuntu Pro, la copertura di sicurezza estesa vale anche per questo pacchetto nei repository Main e Universe.