7 нови уязвимости в FreeBSD

На 20 май 2026 година разработчиците на FreeBSD обявиха, че са коригирали седем нови уязвимости в системата. Не всички те са еднакво опасни, но има и изключително неприятни.

CVE-2026-45251 — use-after-free в селект-подобни системни повици, ако в техния списък на очакване има дескриптори на процеси (в FreeBSD 15 — и нови дескриптори на jail-ове), и тези дескриптори са били затворени в друг поток, докато очакващият системен повик все още е бил в очакване. Според този комит, са засегнати също така дескрипторите, свързани с netmap (драйвера за ускорен достъп до мрежовия адаптер), но за това няма официална информация. Дескрипторите на процеси се появиха в FreeBSD 9, така че уязвимостта вероятно съществува оттогава. В официалното заявление е посочено, че уязвимостта позволява получаване на привилегии на суперпотребител. Няма възможност за нейтрализиране без пач/обновление.

CVE-2026-45250 — неправилно изчисляване на размера на буфера и последващо записване извън буфера в стека в системния повик setcred, като, въпреки че setcred изисква root-привилегии, повредата на стека се извършва преди проверката на привилегиите и е по този начин достъпна за всички. Това системно повикване се появи в FreeBSD 14.3 (тоест по-ранните версии не са засегнати) и позволява установяване на всички идентификатори на потребителя и групите на текущия процес с 1 повикване, вместо комбинации от setuid+setgid+setgroups и подобно. Уязвимостта позволява изпълнение на злонамерен код в контекста на ядрото. Няма възможност за нейтрализиране без пач/обновление.

CVE-2026-45252 — отсъствие на проверка за наличието на завершителен нул преди копирането на стринг, получен от fuse-демон, в нов буфер. Въпреки това, проверката за максималния размер на копиране е налична, и повече от 253 излишни байта от ядрото не могат да бъдат прочетени. Може също така да се запишат до 250 байта в "незаписаното пространство на ядрото". По подразбиране в FreeBSD е забранено монтиране на файлови системи от потребители, различни от root, което означава, че за подскачане на злонамерен fuse-демон към ядрото е необходимо да си root. Въпреки това, ако sysctl vfs.usermount=1 — системата става уязвима и за обикновени потребители. Също така трябва да се вземе предвид опасността от fuse-демона в jail, където той може да бъде и root (но по подразбиране това също е забранено).

CVE-2026-45253 — при използване на ptrace се е давала възможност за стартиране на системен вик с некоректен номер в отладения процес, което е довело до изпълнение в ядрото на код, който не е предвиден за стартиране като системен вик, с потенциално лоши последствия. Ако е зададено security.bsd.unprivileged_proc_debug=0 (което е добра практика за сървъри във всеки случай, а инсталаторът на системата дори предлага да се направи опционално), потребителските и jail-административни процеси няма да могат да използват ptrace и по този начин уязвимостта ще остане достъпна само за root.

CVE-2026-45255 — инжекция на shell команди с root права в bsdinstall/bsdconfig чрез злонамерени имена на безжични мрежи, които не са били екранвани, по време на прегледа на техния списък. За да избегнете тази уязвимост, просто не преглеждайте списъка с безжични мрежи от bsdinstall/bsdconfig.

CVE-2026-39461, CVE-2026-45254 — уязвимости в библиотеката libcasper (не в ядрото). Библиотеката е предназначена за безопасно настройване на услугите за процеси, поставени в пясъчник. Една от уязвимостите е свързана с извънреден достъп до буфер в стека и повреда на стека, чрез организиране в тази библиотека на файлови дескриптори с големи номера (тя е проектирана за номера до 1024 – подразбиращият се лимит на структурите за системен повик select). Втората уязвимост е възможността за премахване на наложени списъци с ограничения (идеологията на библиотеката е такава, че веднъж наложените ограничения върху процеса могат само да се увеличават) cap_net.

Поправените версии на системата имат номера: 14.3-RELEASE-p14, 14.4-RELEASE-p5 и 15.0-RELEASE-p9. Също така е важно да се отбележи, че релизът FreeBSD 13.5 скоро беше премахнат от поддръжка – на 30 април 2026 година, и за него (и за клона 13.x изобщо) вече няма официални поправки. Въпреки това, ако по някаква причина все още не желаете да бързате с преминаването към релиза 14.x, патчовете за версия 14.3 в общи линии подхождат и за изходния код на 13.5, а CVE-2026-45250 за клона 13 е неподходящо поради отсъствието на setcred() в него.

Източник: linux.org.ru