USN-9001-1: Ubuntu corregge il keystore Java, restava fidata la CA eMudhra

Ubuntu ha pubblicato il 5 novembre 2026 l'avviso USN-9001-1, che corregge un difetto nel pacchetto ca-certificates-java: il keystore JKS usato dalle applicazioni Java non veniva aggiornato quando una CA veniva tolta dal bundle di sistema. Per chi gestisce Tomcat, application server o qualsiasi servizio Java che legge /etc/ssl/certs/java/cacerts invece del trust store OpenSSL, la cosa ha un risvolto concreto: certificati che il sistema considerava revocati restavano fidati lato Java.

La causa: due invocazioni, una sola valida

Il bug, tracciato su Launchpad al numero 2061817, risale a una segnalazione dell'aprile 2024. Negli aggiornamenti del pacchetto ca-certificates, update-ca-certificates viene invocato due volte, la prima con una hooksdir vuota, il che significa che gli hook in /etc/ca-certificates/update.d come jks-keystore non vengono eseguiti. Risultato: il keystore Java smetteva di ricevere gli aggiornamenti delle CA, pur restando il pacchetto di sistema ca-certificates perfettamente aggiornato.

Il collegamento con il caso eMudhra

La scadenza del fix non è casuale. I changelog ufficiali dei pacchetti per 24.04, 26.04 e 26.10 spiegano che il postinst di ca-certificates applicava le modifiche ai certificati senza eseguire gli hook di /etc/ca-certificates/update.d, per cui l'aggiornamento differito alimentava questo pacchetto con una lista di modifiche vuota e il keystore smetteva di ricevere aggiornamenti; continuava a fidarsi di CA rimosse dal trust store di sistema da allora, inclusa la radice eMudhra. In pratica, chi aveva già applicato a ottobre la correzione USN-8944-1 per il caso della CA eMudhra compromessa, lato sistema operativo era a posto, ma le applicazioni Java potevano continuare a fidarsi della catena compromessa fino a questo aggiornamento.

Versioni corrette

Release	ca-certificates	ca-certificates-java
26.10	20260816ubuntu0.26.10.2	20260311ubuntu0.26.10.1
26.04 LTS	20260816ubuntu0.26.04.2	20260311ubuntu0.26.04.1
24.04 LTS	20260816ubuntu0.24.04.2	20240118ubuntu0.24.04.1
22.04 LTS	20260816ubuntu0.22.04.2	20190909ubuntu1.4

Cosa fare

Un sudo apt update && sudo apt upgrade applica le versioni corrette. Dopo l'aggiornamento, su chi ha applicazioni Java in produzione vale la pena verificare il keystore con keytool -list -cacerts -storepass changeit per controllare che non compaiano più alias riferiti a CA già rimosse dal bundle di sistema. Il riferimento tecnico del bug resta su Launchpad al link https://bugs.launchpad.net/bugs/2061817.