OpenVPN 2.7.7 corregge sette CVE mentre Shelly 3.1.3 migliora AppImage e AUR

🐧 Novità principali

• OpenVPN 2.7.7 corregge sette CVE tra reliability layer TLS, servizi Windows, validazione dei percorsi, DHCP e gestione dei processi.
• La release risolve anche problemi con route permanenti, mbedTLS, OpenSSL, handshake TCP e riduce il numero di chiavi future nel formato EPOCH.
• Shelly 3.1.3 migliora cache AUR, variabili per AppImage, Flatpak, download paralleli e il nuovo builder nativo dei pacchetti Arch.

OpenVPN 2.7.7 e Shelly 3.1.3 aggiornano due componenti molto differenti dell’ecosistema Linux, ma entrambi intervengono su aree nelle quali affidabilità e gestione del software contano più delle nuove funzioni appariscenti. OpenVPN pubblica una release soprattutto correttiva che chiude sette vulnerabilità identificate con CVE, comprese condizioni di denial of service nel reliability layer TLS e diversi problemi specifici di Windows. Shelly continua invece la rapida maturazione del nuovo package manager per Arch Linux, migliorando la gestione della cache AUR, le configurazioni delle AppImage, il backend Flatpak e il builder introdotto con la serie 3.1. Due aggiornamenti che consolidano rispettivamente sicurezza della rete e gestione del software desktop.

OpenVPN 2.7.7 corregge sette vulnerabilità e un DoS nel reliability layer

OpenVPN 2.7.7, pubblicato il 3 settembre 2026, viene definito dallo stesso progetto una bugfix release con numerose correzioni di sicurezza. Il problema più trasversale è CVE-2026-84732, che riguarda il reliability layer utilizzato dal canale di controllo TLS: un attaccante può tentare di far crescere senza limiti il timeout delle ritrasmissioni oppure inviare acknowledgement riferiti a pacchetti che non potrebbero trovarsi nello stato outstanding. Il risultato potenziale è un denial of service contro il livello che gestisce l’affidabilità del canale TLS. Le versioni 2.6.22 e 2.7.6 risultano interessate dal problema, corretto nella 2.7.7. Il progetto attribuisce la scoperta a Mark Bregman di Fox-IT. La release history ufficiale di OpenVPN elenca inoltre altre sei CVE, rendendo l’aggiornamento particolarmente rilevante soprattutto negli ambienti Windows. Il gruppo più numeroso di correzioni interessa infatti il codice Windows. CVE-2026-84256 riguarda il quoting della command line utilizzata da CreateProcess(): una combinazione tra validation script e una CA malevola poteva causare comportamenti imprevisti sfruttando caratteri speciali interpretati da cmd.exe. CVE-2026-84226 corregge invece tapctl, imponendo l’utilizzo del percorso completo di netsh.exe per evitare che venga invocato un eseguibile differente. CVE-2026-82312 interessa gli oggetti di sistema creati con una NULL DACL: un utente locale poteva interferire con processi OpenVPN di altri utenti, bloccando il semaforo utilizzato per netsh o inviando eventi di terminazione. Il problema colpisce soprattutto configurazioni che non utilizzano l’interactive service oppure impiegano il servizio automatico per avviare e fermare OpenVPN.

Openvpnserv riceve ulteriori hardening su path, buffer e domini NRPT

La 2.7.7 chiude inoltre una serie di problemi emersi durante l’analisi del servizio openvpnserv. CVE-2026-78221 corregge una dimensione errata passata nella gestione dei domini NRPT che, con nomi internazionalizzati codificati in UTF-8, poteva provocare un buffer overread. CVE-2026-78043 irrigidisce invece la validazione dei percorsi impedendo l’utilizzo del carattere / nei config path: le API Windows utilizzate durante la validazione non interpretavano quel carattere esattamente come le funzioni impiegate successivamente per aprire il file, creando un percorso potenziale per aggirare le restrizioni amministrative e avviare OpenVPN con una configurazione controllata dall’utente. Infine CVE-2026-81738 corregge un off-by-one nel buffer temporaneo utilizzato da write_dhcp_search_str(), attivabile attraverso particolari opzioni DHCP. Le note di modifica complete della versione 2.7.7 includono anche ulteriore hardening della funzione CheckConfigPath() e un controllo off-by-one aggiuntivo nell’input validation di openvpnserv. L’aggiornamento non riguarda però esclusivamente Windows. Su Linux Netlink, OpenVPN ora verifica che le risposte ricevute corrispondano effettivamente alla richiesta che le ha generate, un hardening suggerito da Joshua Rogers. Dal punto di vista operativo, la quantità di correzioni concentrate nella stessa release suggerisce di non trattare la 2.7.7 come un semplice aggiornamento di manutenzione, soprattutto sui sistemi che espongono server VPN o utilizzano OpenVPN come componente stabile dell’accesso remoto. La correzione del reliability layer riguarda direttamente la disponibilità della sessione TLS, mentre i problemi Windows coinvolgono servizi, validazione dei path e componenti utilizzati con privilegi elevati. Per amministratori e distribuzioni che mantengono ancora la serie 2.6, la presenza di vulnerabilità condivise rende necessario verificare anche le patch della propria branch e non limitarsi al numero di versione maggiore.

Leggi anche: NetworkManager 1.58 e IPFire 2.29 aggiornano networking, VPN e DNS su Linux

La release corregge route permanenti, mbedTLS e handshake TCP

Oltre alla sicurezza, OpenVPN 2.7.7 risolve diversi bug che potevano produrre comportamenti errati in configurazioni reali. Il comando --stale-routes-check poteva eliminare anche route permanenti installate tramite --iroute o --ifconfig-push, mentre la nuova implementazione introduce flag dedicati per distinguere le route dinamiche da quelle che devono essere preservate. Viene inoltre aggiunto un workaround per un problema nella gestione delle chiavi pubbliche presente in mbedTLS 4.1.0 e 4.2.0, indicato come risolto upstream dalla 4.3.0. Il codice OpenSSL smette di reimpostare la chiave HMAC a ogni pacchetto, mentre la gestione TCP peer-to-peer corregge scenari nei quali entrambi gli endpoint iniziano contemporaneamente l’handshake e il ciphertext di controllo rimane accodato in modo errato. Tra i cambiamenti visibili compare inoltre una modifica al formato EPOCH del data channel: OpenVPN riduce da 16 a 4 il numero di chiavi future mantenute disponibili. Il progetto spiega che il calcolo precedente era eccessivo e che quattro chiavi di riserva sono sufficienti anche su collegamenti superiori a 100 Gbit/s, riducendo consumo di risorse e rumore nei log, soprattutto nelle implementazioni kernel. Sono modifiche meno immediate delle CVE ma importanti per una release che punta a consolidare la nuova serie 2.7 dopo un ciclo di aggiornamenti molto rapido: OpenVPN aveva pubblicato la 2.7.6 soltanto il 5 agosto, e durante la riunione di progetto del 26 agosto gli sviluppatori avevano esplicitamente indicato una cadenza di circa quattro settimane a causa del numero di segnalazioni di sicurezza ancora in lavorazione.

Shelly 3.1.3 pulisce la cache AUR e rende configurabili le AppImage

Sul desktop Arch arriva invece Shelly 3.1.3, pubblicato il 7 settembre da Seafoam Labs. La release continua il percorso iniziato con Shelly 3.1 e il nuovo builder nativo per i PKGBUILD, ma concentra molte modifiche sull’esperienza quotidiana. La novità più evidente è il nuovo supporto --aur-cache nel comando shelly purify standard, che permette di visualizzare e rimuovere tutti gli archivi prodotti dalle build AUR e le relative firme lasciando intatti PKGBUILD, cronologia dei checkout, sorgenti e directory di compilazione. È disponibile anche DisableCacheClean per evitare la richiesta automatica di pulizia durante shelly upgrade all. La release ufficiale Shelly 3.1.3 introduce inoltre la possibilità di associare variabili d’ambiente specifiche a ogni AppImage installata, sia dall’interfaccia grafica sia dalla CLI. Le impostazioni restano valide dopo gli aggiornamenti dell’AppImage e vengono applicate sia all’avvio dal desktop sia attraverso shelly run. La gestione AppImage era già stata ampliata con la riscrittura di Shelly 3.0 per Arch Linux, AUR, Flatpak e applicazioni portabili, ma la 3.1.3 passa dall’integrazione di base a un controllo più granulare del runtime. La possibilità di impostare variabili per singola applicazione è utile per configurare backend grafici, percorsi, opzioni sperimentali o parametri applicativi senza creare wrapper esterni o modificare manualmente i file .desktop. Anche i controlli di aggiornamento basati su StaticURL seguono ora correttamente i redirect.

Il builder Arch diventa più compatibile e introduce shellystrap

Il nuovo builder interno riceve un’altra serie di correzioni. Shelly migliora il parsing delle here-string e delle command substitution, uniforma SOURCE_DATE_EPOCH attraverso valutazione del PKGBUILD, build e metadati del pacchetto, gestisce meglio dipendenze condizionali, architetture specifiche e split package e amplia l’estrazione degli archivi anche quando manca un’estensione riconoscibile. Sono supportate inoltre decompressioni standalone con gzip, compress, bzip2, xz e zstd, mentre fallimenti durante lo stripping dei binari vengono trasformati in warning quando è possibile mantenere il file originale. La gestione delle firme PGP riceve ulteriori correzioni per pacchetti con firme multiple. È un affinamento importante perché Shelly 3.1 ha smesso di delegare la fase di build predefinita a makepkg, assumendosi direttamente parsing, verifica delle sorgenti, dipendenze e creazione dell’archivio compatibile con pacman. La novità architetturale è shellystrap, nuovo helper basato su libalpm utilizzato per predisporre gli ambienti delle build isolate. Sostituisce la dipendenza da pacstrap e mantiene il provisioning dentro namespace privati. La release migliora anche il trasferimento delle chiavi pubbliche necessarie alla verifica delle sorgenti nel nuovo ambiente, il controllo delle dipendenze sui database dei repository appena sincronizzati e la pulizia quando una build viene annullata attraversando confini di privilegio. Per le pipeline automatiche arrivano output JSON per versione, capability, review e risultati della build, directory di output configurabili e il comando shelly resolve per ricondurre il nome esatto di un pacchetto repository o AUR al relativo package base.

Continua con:

• Shelly 3.0.4 migliora AUR, AppImage e Flatpak mentre Wireshark chiude 28 vulnerabilità
• Flatpak 1.18.1 corregge dieci falle mentre QEMU 11.1 amplia storage e RISC-V

Shelly rende più coerente il desktop Arch mentre OpenVPN chiude il fronte sicurezza

Sul fronte grafico, Shelly 3.1.3 migliora infine l’apertura dei collegamenti Flathub anche quando l’applicazione è già in esecuzione o sta ancora caricando il catalogo, aggiunge la gestione dei file Flatpak reference e dei link AppStream, rende più chiari stato installato e verifica delle applicazioni e migliora la selezione dei remote. Il parametro ParallelDownloadCount viene finalmente rispettato sia per i pacchetti sia per i database dei repository, con valori compresi tra 1 e 255 e default fissato a 100. Le due release seguono quindi priorità differenti. OpenVPN 2.7.7 è un aggiornamento da considerare prioritario per la sicurezza, soprattutto sui sistemi Windows e sulle infrastrutture che dipendono dalla disponibilità del canale TLS. Shelly 3.1.3 rappresenta invece una release incrementale ma sostanziosa di un progetto che in poche settimane è passato dalla riscrittura in Zig al controllo diretto della build AUR, fino a una gestione sempre più integrata di pacchetti nativi, AppImage e Flatpak. Nel primo caso l’obiettivo è eliminare superfici di attacco e condizioni limite accumulate in un software di rete maturo; nel secondo è ridurre la frammentazione del desktop Arch senza rinunciare alla trasparenza del modello PKGBUILD. OpenVPN consolida la sicurezza del tunnel, Shelly consolida il percorso che porta il software sul sistema.