Nebezpečné zranitelnosti v Apache httpd, FreeBSD, Linuxovém jádře, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 a OpenSSL

Nedávno odhalené nebezpečné zranitelnosti, které umožňují získat root přístup v systému nebo dosáhnout vzdáleného provádění kódu:

• 20 zranitelností v Apache httpd, mezi nimiž je přetečení zásobníku v mod_vhost_alias (CVE-2026-63292), potenciálně umožňující vzdálené provedení kódu pomocí odeslání HTTP požadavku s velkým HTTP hlavičkou Host. Zranitelnost se projevuje při určování v direktivě VirtualDocumentRoot specifier podmínkového názvu hostitele a zvýšení limitu LimitRequestFieldSize.

  Mezi další nebezpečné problémy: přístup k paměti po jejím uvolnění v mod_rewrite při použití konstrukce %{LA-U:HTTP:…} (CVE-2026-56154); přetečení zásobníku v mod_charset_lite (CVE-2026-56153); přístup k již uvolněné paměti v mod_http2 (CVE-2026-57941); přetečení zásobníku při analýze souborových cest ve Windows (CVE-2026-59685); celočíselné přetečení v mod_dav_fs (CVE-2026-93546). Problémy byly odstraněny ve vydání 2.4.69.

• 9 zranitelností ve FreeBSD. Mezi odhalenými problémy: přetečení zásobníku vedoucí k provádění kódu na úrovni jádra při manipulaci se systémovým voláním semop (CVE-2026-58098); zvýšení privilegíí kvůli přístupu k paměti po jejím uvolnění v kqueue (CVE-2026-58099); překročení kořenového adresáře izolovaného jail prostředí (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); zhroucení jádra zasláním speciálně formátovaného síťového paketu při zapnutí KTLS (CVE-2026-101302); obejití mechanismů síťové izolace v jail (CVE-2026-101303). Zranitelnosti byly odstraněny v aktualizacích FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 a 14.4-RELEASE-p10.
• 6 zranitelností v LibreOffice, které při otevírání speciálně formátovaných dokumentů vedou k provádění kódu (CVE-2026-63277, exploit), zápisu do libovolných souborů (CVE-2026-63266) nebo úniku obsahu lokálních souborů (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Problémy byly odstraněny v LibreOffice 26.2.5 a 26.8.0.
• Zranitelnost (CVE-2026-59265, exploit) v Apache OpenOffice, vedoucí k provádění kódu při otevírání speciálně formátovaného dokumentu kvůli chybě v funkcích integrace s Java. Problém bude odstraněn ve verzi 4.1.17, která je ve fázi testování kandidáta na vydání.
• Zranitelnosti v serveru zranění CUPS. Zatím byly odhaleny informace o 14 problémech s úrovní nebezpečí pod 7 (CVSS), přičemž seznam nebezpečnějších problémů bude zveřejněn po uplynutí embarga, které dává čas na provedení oprav v distribucích. Nejnebezpečnější z uvedených zranitelností umožňuje zvýšení privilegii (CVE nebyl přidělen) a vzdálené provedení vlastního kódu s právy uživatele lp (CVE-2026-55453) při přístupu k tiskárně IPP ovládané útočníkem. Problémy byly odstraněny ve vydání CUPS 2.4.20.
• Zranitelnost (CVE-2026-80521, exploit) v jádře Linuxu, která umožňuje přístup k hostitelskému systému z izolovaného kontejneru. Zranitelnost byla způsobena závodem ve realizaci socketů AF_UNIX, což vedlo k přístupu do paměti po jejím uvolnění, který lze využít pro spuštění libovolného kódu na úrovni jádra. Problém byl odstraněn v srpnových aktualizacích jádra.
• Pro Debian GNU/Linux 13 bylo publikováno aktualizované balení s jádrem Linux 6.12.111-1, ve kterém bylo odstraněno 1313 zranitelností.
• Zranitelnost (CVE-2026-94545) na platformě Next.js, která umožňuje vzdálené bez autentizace provádět vlastní kód na serveru prostřednictvím odeslání požadavku na generování SVG obrázku, pokud na serveru existuje zpracovatel pro náhled OG karet (Open Graph). Problém souvisí se zranitelností v knihovně Satori, která se používá pro převod HTML a CSS na SVG. Zranitelnost byla způsobena nedostatečnou kontrolou escape znaků před jejich vložením do SVG souboru, což mohlo být využito k přidání tagu do SVG značky, který byl vykonán na serveru během převodu SVG do rastrového formátu. Problém byl odstraněn ve Satori 0.33.5 a Next.js 15.5.26, 16.3.6 a 16.4.0.
• Zranitelnosti (CVE-2026-33937, CVE-2026-106445) v JavaScript knihovně handlebars.js, která má 50 milionů stažení týdně a 17 tisíc závislých projektů. Zranitelnosti umožňují vzdálené spuštění JavaScriptového kódu na serveru (při použití knihovny s Node.js) prostřednictvím substituce v šablonizátoru již vytvořených AST objektů (Abstract Syntax Tree) vedle řetězcových šablon. Problémy byly odstraněny ve verzi 4.7.10.
• V kryptografické knihovně wolfSSL 5.9.4 bylo odstraněno 11 zranitelností, z nichž nejnebezpečnější umožňují obcházení autentizace pomocí použití falešných certifikátů.
• 6 zranitelností v systému samostatných balíků Flatpak, mezi kterými jsou problémy umožňující smazat (CVE-2026-97023) a zapisovat (CVE-2026-97024) soubory v hlavním systému s právy root, stejně jako odesílat signál procesům mimo izolované prostředí (CVE-2026-97029). Problémy byly odstraněny ve verzi Flatpak 1.18.4.
• Zranitelnost v knihovně PCRE2, způsobená přetečením bufferu v JIT-kompilátoru regulárních výrazů. Bylo připraveno exploit, který umožňuje vzdálené provedení kódu v PHP projektech, jako je phpMyAdmin, při zpracování specifikovaného útočníkem regulárního výrazu v funkcích založených na PCRE2. Problém byl odstraněn ve verzi libpcre2 10.49.
• 14 zranitelností v kryptografické knihovně OpenSSL, z nichž nejnebezpečnější mohou vést k úniku obsahu paměti procesu při manipulacích s dohodou spojení DTLS (CVE-2026-84782), přístupu k paměti po jejím uvolnění při současném přístupu k jednomu certifikátu X.509 z různých vláken (CVE-2026-84783), a rekonstrukci soukromých klíčů analýzou doby trvání operací prostřednictvím vedlejších kanálů při generování podpisů SM2 a brainpoolP384r1 (CVE-2026-54872, CVE-2026-77696). Problémy byly odstraněny ve verzích OpenSSL 4.0.3, 3.6.5, 3.5.9 a 3.4.8.
• Byl zveřejněn exploit pro zranitelnost v databázovém systému PostgreSQL (CVE-2026-15742), který umožňuje provést kód na serveru s právy uživatele, pod kterým běží databázový systém, prostřednictvím odeslání speciálně formátovaných hodnot do SQL funkcí levenshtein() a levenshtein_less_equal(). Zranitelnost byla odstraněna ve verzích PostgreSQL 18.6, 17.11, 16.15, 15.19 a 14.24.
• V aktualizacích platformy pro společný vývoj Gitea 28.0.0 a 28.1.0 bylo odstraněno několik desítek zranitelností, mezi nimiž je zasílání pull žádostí obcházejícího mechanismus potvrzení změn (CVE-2026-104632), provádění kódu v CI z forku (CVE-2026-94205), a obcházení autentizace ve vestavěném SSH serveru z důvodu ignorování registru znaků při výběru z databáze (CVE-2026-103059).
• Přetečení bufferu (CVE-2026-102633) v knihovně libexpat, které se objevuje na 32bitových platformách při zpracování speciálně formátovaných XML souborů. Problém byl odstraněn ve verzi 2.9.0.
• Dvě zranitelnosti v balíku FreeIPMI pro správu servery, které podporují rozhraní IPMI (Intelligent Platform Management Interface). Jedna z zranitelností vede k přetečení bufferu při zpracování speciálně formátovaného názvu hostitele. Problémy byly odstraněny ve verzi FreeIPMI 1.6.20.
• V rámci projektu Lightwell společnosti IBM a Red Hat bylo identifikováno a připraveno více než 400 oprav pro zranitelnosti v otevřených knihovnách jazyka Java.

Zdroj: opennet.ru