CISA allerta su ownCloud, Linux e JFrog: il kernel testa il governor per le VM

🛡️ Executive Summary

• CISA conferma lo sfruttamento di tre vulnerabilità che colpiscono ownCloud, il sottosistema IPv6 del kernel Linux e JFrog Artifactory.
• La falla Linux permette a un utente locale in un container di raggiungere l’host, aggirare SELinux e ottenere privilegi root.
• Una patch upstream separata propone lo steal governor per adattare dinamicamente le vCPU alla contesa delle macchine virtuali sovraccariche.

CISA ha inserito tre nuove vulnerabilità nel catalogo delle falle sfruttate, coinvolgendo ownCloud, il kernel Linux e JFrog Artifactory. I tre problemi hanno vettori differenti, ma interessano componenti centrali delle infrastrutture self-hosted: condivisione dei file, isolamento dei container e distribuzione degli artefatti software. Parallelamente, gli sviluppatori del kernel stanno valutando lo steal governor, un meccanismo che permetterebbe alle macchine virtuali di ridurre autonomamente la pressione sulle CPU fisiche quando l’host è sovraccarico. La prima notizia richiede patch immediate; la seconda descrive invece una proposta ancora in revisione, destinata a migliorare efficienza e stabilità degli ambienti Linux virtualizzati.

CISA impone una nuova corsa alle patch

Nell’avviso pubblicato il 27 agosto, l’agenzia statunitense conferma l’esistenza di prove di sfruttamento per CVE-2023-49105, CVE-2026-53362 e CVE-2026-66384. L’inserimento nel Known Exploited Vulnerabilities Catalog non descrive una semplice possibilità teorica: indica che le vulnerabilità sono state utilizzate contro sistemi reali. Il catalogo KEV aggiornato assegna alle agenzie federali civili la scadenza del 30 agosto 2026 per ownCloud e kernel Linux, anticipata al 29 agosto per Artifactory. Le date sono vincolanti per gli enti federali interessati dalla direttiva statunitense, ma costituiscono una priorità operativa anche per aziende, provider e amministratori che gestiscono installazioni esposte. La presenza di una CVE nel KEV deve prevalere sul solo punteggio teorico: una falla classificata “media” ma già sfruttata può richiedere un intervento più rapido di una vulnerabilità critica priva di attività ostile osservata.

Leggi anche: le altre vulnerabilità sfruttate inserite da CISA nel KEV e i nuovi rischi per server e GPU

ownCloud e Artifactory espongono file e repository

CVE-2023-49105 riguarda le API WebDAV di ownCloud e le URL prefirmate. Secondo l’advisory di ownCloud, un attaccante che conosce il nome utente della vittima può accedere, modificare o cancellare i suoi file senza autenticazione quando non è configurata una signing key, condizione indicata come predefinita. La vulnerabilità, valutata CVSS 9.8, interessa ownCloud Core dalla versione 10.6.0 alla 10.13.0; la correzione impedisce l’utilizzo delle URL prefirmate in assenza della chiave. CVE-2026-66384 colpisce invece Artifactory: in particolari configurazioni dei repository Docker remoti, un utente autenticato può scrivere dati fuori dal percorso previsto per la cache. Le indicazioni di sicurezza di JFrog prescrivono per gli ambienti self-hosted l’aggiornamento ad Artifactory 7.146.35 o 7.161.16, in base al ramo installato; gli ambienti cloud risultano già rafforzati. Il rischio si inserisce in una superficie più ampia, già emersa con le precedenti vulnerabilità di Artifactory, OpenWrt e TeamCity.

La falla IPv6 permette di uscire dai container

La vulnerabilità più delicata sul piano dell’isolamento è CVE-2026-53362, conosciuta anche come ipv6_frag_escape. Un errore nel calcolo della lunghezza durante la frammentazione IPv6, all’interno della funzione __ip6_append_data(), provoca una scrittura fuori dai limiti nella struttura skb_shared_info. Red Hat descrive la possibilità di trasformare la corruzione della memoria in primitive arbitrarie di lettura e scrittura del kernel, fino alla modifica delle credenziali, al superamento delle protezioni SELinux e alla fuga da un container con privilegi root sull’host. Lo sfruttamento richiede accesso locale e la possibilità di creare network namespace, ma questa capacità può essere disponibile anche agli utenti non privilegiati attraverso gli user namespace. Disabilitarli con user.max_user_namespaces=0 riduce temporaneamente la superficie, ma interrompe funzioni come i container Podman rootless e alcune sandbox. La soluzione resta l’installazione del kernel corretto e il riavvio dell’host, seguendo l’advisory della distribuzione utilizzata. Non tutti i prodotti condividono lo stesso impatto: Red Hat indica RHEL 10 come interessato e OpenShift su RHEL 9 come non coinvolto. Il problema conferma la criticità delle recenti falle del kernel Debian, KVM e SCTP.

Lo steal governor reagisce alla contesa delle vCPU

Su un piano distinto dalla sicurezza, la serie PATCH v9 dedicata allo steal governor propone un sistema cooperativo per gli host che assegnano alle macchine virtuali più vCPU delle CPU fisiche realmente disponibili. Lo “steal time” misura il tempo durante il quale una vCPU sarebbe pronta a lavorare, ma l’hypervisor sta utilizzando il processore fisico per un altro guest. Il nuovo governor campiona questo valore e mantiene una maschera di CPU “preferite”: oltre la soglia predefinita del 5% riduce di un core l’insieme preferito, sotto il 2% lo amplia nuovamente. Non spegne le vCPU e non modifica il numero assegnato alla VM; invita lo scheduler a concentrare i task sui core preferiti attraverso selezione al risveglio, migrazione durante il tick e bilanciamento del carico. Le affinità impostate dall’amministratore restano prioritarie, quindi un processo fissato su una CPU non preferita non viene spostato contro la configurazione esplicita. Il progetto amplia il lavoro già introdotto con Linux 7.2 sullo scheduler, sull’hardware e sulla gestione dei carichi.

I benchmark sono promettenti ma la patch resta sperimentale

I test allegati alla proposta mostrano miglioramenti su PowerPC, x86 e s390, con guadagni rilevanti in alcuni carichi Hackbench e applicativi, ma anche regressioni limitate in determinate configurazioni. I risultati non possono essere trasferiti automaticamente a qualsiasi cloud: dipendono dal livello di overcommit, dalla distribuzione delle vCPU, dalle soglie e dal comportamento degli altri guest. La cooperazione funziona meglio quando tutte le VM dell’host adottano il meccanismo, pur senza scambiarsi direttamente informazioni. La versione attuale supporta soltanto la classe di scheduling FAIR, non applica ancora una selezione sofisticata basata sulla topologia NUMA e sposta inizialmente il solo task in esecuzione da una CPU non preferita. Gli sviluppatori suggeriscono inoltre di compilare il governor come modulo non caricato automaticamente, con intervalli di campionamento compresi tra 500 millisecondi e 5 secondi. La serie v9 resta una proposta upstream: non rappresenta una funzione disponibile nei kernel stabili e non deve essere distribuita in produzione senza ulteriori test.

Continua con:

• QEMU 11.1 e le nuove funzioni per infrastrutture virtualizzate Linux
• gli aggiornamenti di virtualizzazione per Ubuntu 26.04 LTS

La priorità resta separare patch urgenti e innovazione upstream

Per gli amministratori la sequenza operativa deve partire dall’inventario: individuare ownCloud Core 10.6.0-10.13.0, installazioni Artifactory self-hosted precedenti alle build corrette e host con kernel vulnerabili secondo gli advisory delle rispettive distribuzioni. I servizi esposti devono essere aggiornati per primi, seguiti dalla ricerca di accessi WebDAV anomali, scritture inattese nelle directory di Artifactory e segnali di attività sospetta proveniente dai container. L’eventuale restrizione degli user namespace può offrire una mitigazione temporanea per CVE-2026-53362, ma richiede una verifica preventiva delle applicazioni dipendenti. Lo steal governor affronta un problema differente: ridurre il degrado provocato dall’overcommit senza chiedere all’hypervisor di coordinare direttamente ogni guest. Se approvato, potrà rendere le VM Linux più adattive; oggi, però, resta materiale da laboratorio. Le tre vulnerabilità presenti nel KEV sono invece già sfruttate e richiedono interventi immediati.