Fedora 45 abilita Shadow Stack, Debian 13 corregge 68 falle nel kernel

🐧 Novità principali

• Fedora 45 abiliterà Shadow Stack sui sistemi x86_64 compatibili per contrastare gli exploit ROP attraverso una protezione hardware degli indirizzi di ritorno.
• Debian 13 aggiorna il kernel alla versione 6.12.100-1 e corregge 68 vulnerabilità legate a privilegi, denial of service e fughe di informazioni.
• Archcraft 26.08 introduce Sway su Wayland, rinnova SDDM e migliora installazione cifrata, supporto Btrfs, XFS e compatibilità con VirtualBox.

L’ecosistema Linux apre agosto con tre aggiornamenti che intervengono su sicurezza, stabilità e modernizzazione del desktop. Fedora Linux 45 prepara l’attivazione predefinita di Shadow Stack sui sistemi x86_64 compatibili, aggiungendo una protezione hardware contro gli exploit che manipolano il flusso di esecuzione. Debian 13 Trixie corregge invece 68 vulnerabilità nel kernel attraverso il pacchetto 6.12.100-1, mentre Archcraft 26.08 rinnova profondamente l’esperienza di installazione e introduce una nuova sessione Sway basata su Wayland. Le tre iniziative mostrano approcci differenti ma convergenti: ridurre la superficie d’attacco, rendere gli aggiornamenti più affidabili e accompagnare la transizione dai componenti storici verso architetture Linux più moderne.

Fedora 45 protegge gli indirizzi di ritorno con Shadow Stack

Fedora Linux 45 abiliterà automaticamente Shadow Stack per applicazioni e librerie compilate con GCC, Clang e rustc sui processori x86_64 che supportano la tecnologia. La funzione mantiene una seconda copia degli indirizzi di ritorno delle funzioni in un’area di memoria protetta dalla CPU. Quando un programma conclude una funzione, il processore confronta l’indirizzo presente nello stack normale con quello conservato nello stack protetto: una differenza segnala una possibile manipolazione e impedisce al processo di proseguire normalmente. L’obiettivo è contrastare soprattutto gli attacchi Return-Oriented Programming, nei quali l’aggressore non inserisce necessariamente nuovo codice, ma riutilizza frammenti già presenti nel programma per costruire una catena di istruzioni malevole. Shadow Stack appartiene alle tecnologie Control-Flow Enforcement Technology introdotte da Intel e supportate anche dai processori AMD più recenti. Fedora limiterà inizialmente il cambiamento alla protezione degli indirizzi di ritorno, senza abilitare per impostazione predefinita anche Indirect Branch Tracking, la seconda componente di CET. La misura rafforza l’approccio secure-by-default già evidente in Fedora 44 con GNOME 50 e le nuove protezioni dell’ecosistema Linux, spostando una difesa tradizionalmente opzionale direttamente nel comportamento ordinario del sistema.

La protezione resta trasparente ma può escludere librerie incompatibili

Fedora può attivare Shadow Stack senza ricompilare integralmente l’intera distribuzione perché dal 2018 utilizza già il flag -fcf-protection nella configurazione predefinita dei pacchetti. La maggior parte dei binari contiene quindi i metadati ELF necessari per dichiarare la compatibilità. Il linker dinamico abiliterà la protezione soltanto quando il programma principale e tutte le librerie caricate all’avvio risultano conformi. Se anche un singolo oggetto non contiene il marcatore SHSTK, il processo continuerà a funzionare ma senza Shadow Stack. Il caso più delicato riguarda i programmi che partono in modalità protetta e caricano successivamente, tramite dlopen, un plugin o una libreria incompatibile: in questa situazione il caricamento fallirà. Fedora prevede due soluzioni. La prima consiste nel ricompilarne il codice con il supporto corretto; la seconda permette di disabilitare Shadow Stack soltanto per l’applicazione interessata attraverso file in /etc/tunables.conf.d/, mantenendo la protezione per il resto del sistema. Le aree più complesse comprendono browser con compilatori JIT, codice assembly scritto manualmente e alcuni carichi GPU basati su ROCm. Firefox e Chrome non riceveranno quindi automaticamente la protezione completa finché le dipendenze incompatibili non saranno risolte. L’impatto prestazionale dichiarato è trascurabile perché la verifica viene eseguita direttamente dall’hardware, senza strumenti software aggiuntivi durante l’esecuzione.

Debian 13 corregge 68 vulnerabilità nel kernel Linux

Debian ha pubblicato l’advisory DSA-6405-1 per il kernel della distribuzione stabile Trixie, correggendo 68 vulnerabilità attraverso l’aggiornamento alla versione 6.12.100-1. Le falle riguardano componenti differenti del kernel e possono provocare escalation dei privilegi, denial of service e divulgazione di informazioni. Il bollettino non attribuisce a tutte le CVE lo stesso livello di gravità e non segnala che ogni vulnerabilità sia sfruttabile remotamente in una configurazione standard. La quantità e la varietà delle correzioni rendono però l’aggiornamento prioritario per workstation, server e infrastrutture virtualizzate. Gli amministratori devono aggiornare i pacchetti Linux attraverso i normali repository di sicurezza e riavviare il sistema per caricare il nuovo kernel, salvo l’impiego di tecnologie di live patching specificamente compatibili. La release segue Debian 13.6 con oltre cento correzioni e interventi su Secure Boot e conferma la rapidità con cui il ramo stabile incorpora le patch provenienti dal progetto upstream. Debian 13 utilizza una base Linux 6.12 LTS, scelta per offrire un ciclo lungo di manutenzione e una maggiore prevedibilità rispetto ai kernel più recenti. La stabilità non significa però immobilità: driver, filesystem, rete, memoria e sottosistemi hardware ricevono continuamente correzioni che devono essere retroportate senza alterare le interfacce sulle quali dipendono i sistemi in produzione.

Le patch del kernel richiedono aggiornamento e riavvio rapido

L’ampiezza del bollettino Debian mostra perché il kernel rimanga uno dei componenti più sensibili dell’intero sistema operativo. Una vulnerabilità locale può diventare il secondo passaggio di una catena d’attacco, consentendo a un processo inizialmente confinato di ottenere privilegi root. Un errore nella gestione della memoria o dei pacchetti di rete può invece causare blocchi, corruzione dei dati o esposizione di porzioni di memoria del kernel. Il rischio dipende dalla configurazione, dai moduli caricati e dall’accessibilità del sottosistema vulnerabile, ma rimandare l’aggiornamento lascia aperta una finestra sfruttabile dopo la pubblicazione delle patch. Gli utenti di Debian 13 devono verificare che il pacchetto installato appartenga alla serie 6.12.100-1 o successiva e che il sistema utilizzi effettivamente il nuovo kernel dopo il riavvio. Il contesto tecnico della piattaforma è stato approfondito al debutto di Debian 13 Trixie con kernel 6.12 e GNOME 48, mentre l’analisi del kernel Linux 7.1 mostra le innovazioni che entreranno progressivamente nelle distribuzioni rolling e, dopo una fase di consolidamento, nei futuri rami stabili. Debian privilegia il backport delle correzioni rispetto all’adozione immediata delle nuove versioni principali, riducendo il rischio di regressioni ma rendendo indispensabile seguire con regolarità gli advisory di sicurezza.

Archcraft 26.08 introduce Sway e rinnova l’installazione

Archcraft 26.08, pubblicata il primo agosto, amplia la propria offerta desktop con una nuova sessione Sway su Wayland, affiancata ai tradizionali ambienti Openbox e BSPWM basati su X11. Sway offre un window manager a tiling leggero, configurato con impostazioni predefinite dedicate, migliore supporto HiDPI e integrazione più coerente con le applicazioni GTK e GNOME.

L’arrivo di una sessione Wayland conferma il passaggio dell’ecosistema Linux verso il protocollo moderno, già descritto nella guida a GNOME, KDE Plasma, Wayland e window manager e nella decisione di KDE Plasma 6.8 di diventare Wayland-only.

La release introduce inoltre un nuovo tema SDDM basato su Qt 6, aggiorna archiso alla versione 88-1 e migliora la compatibilità con VirtualBox. Openbox riceve hot corner, cambio rapido di finestre e desktop e un avvio più affidabile di Picom, mentre BSPWM ottiene una nuova gestione della rete e un’integrazione grafica più uniforme. L’obiettivo non è trasformare Archcraft in una distribuzione generalista, ma mantenere il carattere leggero e personalizzabile riducendo gli interventi manuali richiesti dopo l’installazione.

Calamares ripristina Btrfs e XFS con cifratura più affidabile

La parte più sostanziale della release riguarda gli installer Calamares e ABIF. Calamares ripristina il supporto a Btrfs e XFS, mantiene Ext4 e F2FS e rende più affidabile la cifratura su tutti i filesystem supportati. L’installer aggiunge la possibilità di installare direttamente la sessione Sway e migliora la logica utilizzata nelle configurazioni UEFI e Legacy BIOS.

ABIF corregge invece crash legati a LVM, problemi di montaggio EFI, parametri mancanti per systemd-boot e installazioni cifrate non completate correttamente. Archcraft adotta inoltre l’hook sd-encrypt, migliora il riconoscimento del bootloader e permette a GRUB di mostrare automaticamente gli snapshot Btrfs creati da strumenti come Timeshift. La release corregge anche problemi con xdg-desktop-portal che impedivano selezione dei file, condivisione dello schermo, acquisizione tramite OBS e integrazione con i browser. La maggiore attenzione a VirtualBox risponde alle esigenze di chi prova la distribuzione in macchina virtuale prima dell’installazione fisica, con avvio più stabile di Sway e Picom e migliore compatibilità grafica. L’evoluzione si collega ai recenti strumenti che hanno reso Arch Linux più accessibile attraverso Shelly e Archinstall. Fedora, Debian e Archcraft intervengono su livelli differenti, ma il risultato è lo stesso: un Linux più protetto nel runtime, più rapido nell’applicazione delle patch e meno fragile durante installazione e utilizzo quotidiano.