Parechje vulnerabilità periculose sò state scuperte in l'ultimi ghjorni, a maiò parte di e quali ponu esse sfruttate à distanza:
- In a versione di a patch di u framework multimediale GStreamer 1.28.2, sò state identificate 11 vulnerabilità, trè di e quali sò causate da buffer overflows è ponu potenzialmente purtà à l'esecuzione di codice durante l'elaborazione di container multimediali MKV (CVE micca assignatu) è MOV/MP4 (CVE-2026-5056) appositamente cuncepiti, è ancu flussi H.266/VVC (CVE micca assignatu). L'ottu vulnerabilità rimanenti sò causate da interear overflows o dereferences di puntatori NULL è ponu purtà à denegazione di serviziu o fughe d'infurmazioni durante l'elaborazione di dati WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub è SRT/WebVTT. U periculu di e vulnerabilità in GStreamer hè aggravatu da u fattu chì hè adupratu in GNOME per analizà i metadati quandu si indicizanu automaticamente novi fugliali, vale à dì Per attaccà, basta à scaricà un fugliale in a directory indicizata ~/Downloads.
- В servitore Ottu vulnerabilità sò state identificate in a stampa CUPS, duie di e quali (CVE-2026-34980 è CVE-2026-34990) ponu esse sfruttate per eseguisce codice remotu cù privilegi di root mandendu una dumanda apposta à u servitore di stampa. A prima vulnerabilità permette à un attaccante micca autenticatu di eseguisce codice cù i privilegi di l'utente lp mandendu un travagliu di stampa apposta (u prublema hè causatu da una gestione incorretta di i caratteri di avanzamentu di linea scappati). A seconda vulnerabilità permette l'escalazione di privilegi da l'utente lp à root mudificendu i fugliali cù privilegi di root per mezu di a sustituzione di una stampante falsa. Un aghjurnamentu CUPS chì corregge queste vulnerabilità ùn hè ancu dispunibule.
- Una versione 5.9.1 di a biblioteca crittografica wolfSSL hè stata publicata, chì curregge 21 vulnerabilità. Un prublema hè statu classificatu cum'è criticu, è nove sò classificati cum'è alti (chì causanu curruzzione di memoria). A vulnerabilità critica (CVE-2026-5194) hè causata da una mancanza di dimensione di hash è validazione OID. Questu permette di specificà hash più chjuchi, indebulendu cusì a forza di l'algoritmi di firma digitale ECDSA/ECC, DSA, ML-DSA, ED25519 è ED448 è bypassendu l'autenticazione basata nantu à i certificati. A vulnerabilità hè stata scuperta da l'ingegneri di Anthropic durante una revisione di codice cù un mudellu di IA.
- Sò state publicate e versioni di patch di a biblioteca crittografica OpenSSL 3.6.2, 3.5.6, 3.4.5 è 3.3.7, chì curreggenu sette vulnerabilità. A vulnerabilità più severa (CVE-2026-31790) pò purtà à a fuga di dati sensibili chì restanu in u buffer dopu una operazione precedente. U prublema hè causatu da l'usu di memoria micca inizializzata quandu si incapsulanu e chjave RSA KEM (RSASVE).
Un'altra vulnerabilità (CVE-2026-31789) hè causata da un buffer overflow è pò purtà à l'esecuzione di codice quandu si eseguenu operazioni di cunversione da stringa à esadecimale durante l'elaborazione di certificati X.509 appositamente cuncepiti. Stu prublema hè classificatu cum'è benignu perchè affetta solu e piattaforme à 32 bit. E vulnerabilità rimanenti sò causate da a lettura di dati da un buffer fora di i limiti, l'accessu à a memoria chì hè digià stata liberata è u dereferenziamentu di un puntatore nullu.
- Una vulnerabilità critica (CVE-2026-32922) cù una valutazione di gravità di 10 su 10 hè stata corretta in OpenClaw 2026.3.11, l'agente AI OpenClaw chì permette à i mudelli AI d'interagisce cù l'ambienti di sistema (per esempiu, eseguisce utilità è travaglià cù i fugliali). A vulnerabilità hè causata da u cumandamentu "/pairapprove" chì ùn verifica micca currettamente i permessi, permettendu à qualsiasi utilizatore cù privilegi di accoppiamentu (u livellu di privilegiu più bassu necessariu per accede à OpenClaw) d'affermà i diritti d'amministratore per elli stessi è ottene u cuntrollu cumpletu di l'ambiente. Per eseguisce un attaccu, basta à cunnette si à OpenClaw, dumandà a registrazione di un dispositivu fittiziu cù accessu operator.admin, è dopu appruvà a so propria dumanda cù u cumandamentu "/pairapprove", ottenendu u cuntrollu cumpletu di l'istanza OpenClaw mirata è di tutti i servizii assuciati.
Qualchi ghjorni prima, una vulnerabilità simile (CVE-2026-33579) hè stata scuperta in OpenClaw, chì permette di saltà i cuntrolli d'accessu è ottene privilegi d'amministratore. I circadori chì anu scupertu u prublema citanu statistiche chì mostranu 135 istanze OpenClaw accessibili publicamente in linea, u 63% di e quali permettenu cunnessione micca autenticate.
- Una vulnerabilità (CVE-2026-39860) hè stata identificata in u gestore di pacchetti Nix utilizatu in a distribuzione NixOS. Li hè statu assignatu un livellu di gravità criticu (9 su 10). A vulnerabilità permette di sovrascrive qualsiasi schedariu in u sistema, secondu i permessi di u prucessu in background Nix, chì funziona cù privilegi di root in NixOS è installazioni multiutente. U prublema hè causatu da una correzione impropria per a vulnerabilità CVE-2024-27297 in 2024. U sfruttamentu si verifica per via di a sustituzione di un ligame simbolicu in un cartulare in un ambiente di compilazione isolatu induve hè statu scrittu l'output di compilazione. A vulnerabilità hè stata corretta in Nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3 è 2.28.6.
- Cinque vulnerabilità in u kernel Linux, identificate durante esperimenti cù u kit di strumenti Claude Code è chì affettanu i sottosistemi nfsd, io_uring, futex è ksmbd (1, 2), sò state riparate. A vulnerabilità in u driver NFS permette di scopre u cuntenutu di a memoria di u kernel mandendu richieste à un servitore NFS. U prublema hè causatu da un bug chì hè statu prisente dapoi u kernel 2.6.0 (2003).
Source: opennet.ru
