Plusieurs failles dans la bibliothèque libsoup, essentielle pour le traitement des requêtes HTTP, ont nécessité une correction urgente sur les distributions basées sur Ubuntu. Selon l’annonce d’Ubuntu Security, la mise à jour USN-8890-3 intervient pour corriger des problèmes sous-jacents dans la gestion des protocoles réseau, en plus de remédier à une fuite de mémoire introduite par une correction précédente. Ces failles touchent spécifiquement Ubuntu 22.04 LTS, 24.04 LTS et 26.04 LTS, et les risques varient, allant du déni de service à l’exfiltration de données sensibles.

Le champ d’action de ces failles est large, impactant à la fois la stabilité des applications et la confidentialité des données. Prenons l’exemple de CVE-2026-5119. Elle concerne le traitement des connexions proxy HTTPS ; un attaquant positionné sur le réseau pourrait intercepter les cookies de session en clair lors de l’établissement des tunnels, ouvrant la porte au détournement de session. D’après les données techniques, cette vulnérabilité est classée avec un score CVSS de 5,9 (Moyen) selon NVD.

Ce qui est touché et la gravité réelle

Le problème de type Use-After-Free associé à CVE-2026-4271 est théoriquement grave. Il permet à un attaquant distant de provoquer une instabilité du système en envoyant des requêtes HTTP/2 malformées, menant à un déni de service. Red Hat, qui suit ce composant, note que ce défaut de niveau MODERATE peut entraîner des plantages d’application, bien que les options de mitigation ne soient pas toujours simples à déployer.

Il existe aussi des failles plus insidieuses, comme celle liée à CVE-2026-6324. Elle exploite une erreur de conversion d’unsigned à signed lors du traitement de requêtes chunked. Cette faille est particulièrement sournoise car elle peut être exploitée lorsque libsoup fonctionne derrière un serveur proxy ou devant un backend non-libsoup, permettant à un attaquant de contourner des mécanismes de sécurité.

Qui doit agir et comment

La réaction doit être rapide. Ubuntu Security fournit les correctifs nécessaires via les mises à jour USN. Il est donc impératif de s’assurer que tous les systèmes sous Ubuntu 22.04, 24.04 et 26.04 sont à jour avec la dernière version sécurisée. Ignorer ces mises à jour, c’est laisser une porte ouverte sur une infrastructure exposée à Internet.

En plus des correctifs officiels, il faut surveiller les autres failles, comme celles impactant la gestion des en-têtes HTTP Range (CVE-2026-77014, CVE-2026-77680), qui peuvent également provoquer un déni de service. Le fait que ces problèmes surviennent dans une bibliothèque aussi centrale que libsoup signifie que la sécurité de tout ce qui utilise ces capacités de communication est directement mise en péril.

Que faire maintenant

Pour les administrateurs système, la priorité absolue est l’application des patchs fournis par Ubuntu. Au-delà de la simple mise à jour, il est conseillé de vérifier l’état de tous les services qui dépendent de libsoup, notamment ceux gérant des connexions proxy ou des échanges HTTP/2 complexes. Si vous utilisez des configurations d’authentification proxy, soyez particulièrement vigilant quant au transit des données sensibles vers et depuis ces points.

Fiche technique

Données : NVD (NIST) et GitHub Advisory Database (CC BY 4.0, données adaptées).

Sources

• USN-8890-3: libsoup regression, Ubuntu Security, 9 novembre 2026
• Avis de sécurité (access.redhat.com), access.redhat.com, 17 mars 2026
• GHSA-xxmc-fm3p-q3x8 : A flaw was found in libsoup, a library for handling HTTP requests. This vulnerability…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-4271, NVD (NIST)
• GHSA-j666-j6hj-fpc7 : A flaw was found in libsoup. When establishing HTTPS tunnels through a configured HTTP…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-5119, NVD (NIST)
• GHSA-2637-3gxc-qg4f : A flaw was found in libsoup. A remote attacker could exploit an unsigned to signed…, GitHub Advisory Database (CC BY 4.0)
• CVE-2026-6324, NVD (NIST)