Nye sårbarheder i FreeBSD

2

Den 30. juni 2026 blev der offentliggjort meddelelser om rettelser til 13 nye sårbarheder i FreeBSD-operativsystemet.

• CVE-2026-49418. En bruger med adgang til en enhed med memory-mapped interface kan forårsage double-free/use-after-free i kernen. Dette kan sandsynligvis føre til ophøjelse af privilegier.
• CVE-2026-49419. (kun FreeBSD 15+) Dobbelt reduktion af refcount for den aktuelle jail ved behandling af en fejl i forbindelse med en anden jail via jail descriptor (introduceret i FreeBSD 15), hvilket fører til uventet frigivelse af jail's kontrolstruktur og efterfølgende use-after-free, hvor som helst den bruges. Teoretisk kan dette føre til ophøjelse af privilegier.
• CVE-2026-49415. Ved udførelse af en setuid-program indstilles adgangsrettighederne til dens hukommelse lidt senere end hukommelsen initialiseres, hvilket giver mulighed for midlertidig adgang til og redigering af denne hukommelse uden de nødvendige privilegier via procfs eller linprocfs. I de fleste systemer er procfs, og især libprocfs, ikke monteret, så problemet berører sandsynligvis kun få.
• CVE-2026-49429, CVE-2026-49430, CVE-2026-49431. (kun for systemer med ZFS) De første to fejl er relateret til tildeling af hukommelse i forkert størrelse: der tildeles en buffer i den størrelse, der er angivet som et 32-bit tal, hvorefter data skrives i den faktiske størrelse, hvilket medfører overflow, hvis den faktiske bufferstørrelse var større end 4 GB. Begge kan kun udnyttes af root eller brugere med specifikt tilladte privilegier til de sårbare operationer. Den tredje fejl kan udnyttes af alle, da den gør det muligt for hvem som helst at tilføje flaget "$hasrecvd" til et datasæt ved hjælp af ZFS_IOC_SET_PROP (hvordan det er farligt fremgår ikke tydeligt af meddelelsen).
• CVE-2026-49420. Manglende kontrol af pakkenes størrelse før de skrives til en fast størrelse buffer på stakken i libalias-modulet til RTSP-support fører til muligheden for eksternt og uden autorisation at forårsage en stak- eller kernesvigt (for ipfw nat) eller natd-processen (som typisk kører under root). Det kan potentielt føre til RCE. Sårbarheden kan udløses af en ondsindet vært inden for et lokalt netværk bag NAT, implementeret via libalias, der sender skadelige RTSP-pakker. Derfor påvirker sårbarheden ikke værter, der ikke har NAT aktiveret i en eller anden form. Desuden: natd vil ikke være sårbar, hvis linjen libalias_smedia.so fjernes fra /etc/libalias.conf og natd genstartes, og ipfw nat vil ikke være sårbar uden indlæsning af modulet alias_smedia.ko (det er ikke angivet, om det kan indlæse det automatisk). Endvidere ser den sårbare håndterer kun TCP/UDP-pakker, der går udad, som har en af portene 554 eller 7070 - hvis sådanne pakker blokeres før de når NAT, vil sårbarheden også forsvinde.
• CVE-2026-49421. unlinkat() og funlinkat() tog ikke højde for flaget AT_RESOLVE_BENEATH, hvilket skulle forhindre at man ved gennemgang af stien bevægede sig ud over den angivne mappe i argumentet dirfd. Dermed blev det muligt at slette filer uden for mappen, når den kaldende kode ønskede at indføre denne begrænsning.
• CVE-2026-49422. Race-forhold i tcp_rack.ko-modulet (som standard ikke indlæst). Hver tcp-socket kan individuelt vælge den tcp-stak, som den vil arbejde gennem, inklusive muligheden for at skifte dem on-the-fly. Hvis man gør følgende: 1) på en socket med tcp_rack kalder man en rack-specifik setsockopt(), 2) i en anden tråd formår man hurtigt at skifte tcp-stakken fra rack til en anden og hurtigt skifte tilbage til rack på det rigtige tidspunkt, så vil rack-håndtereren for setsockopt() arbejde med den gamle (før skiftet) adresse til socketens tilstandsstruktur, hvilket fører til hukommelsesskader og potentielt forhøjet privilegium. Sårbare er kun systemer, hvor tcp_rack.ko eksplicit er indlæst, dette er ikke standard.
• CVE-2026-49427, CVE-2026-49428. POSIX largepages (shm_create_largepage) blev ikke tilstrækkeligt korrekt markeret som brugt ved allokering, hvilket kunne føre til fejlagtig frigivelse under forskellige omstændigheder (nævnt er kald til sendfile med flaget SF_NOCACHE, open med flaget O_TRUNC og fspacectl) og efterfølgende use-after-free med almindelige konsekvenser.
• CVE-2026-49426. Ukorrekte audit(4) logs om fjerna syscalls via ptrace(PT_SC_REMOTE). De kan forvirre systemer der analyserer mistænkelige situationer, hvis sådanne anvendes.
• CVE-2026-49423. Mulig kernel-panic ved modtagelse af data via kTLS med TLS 1.2 CBC-optegnelser. For at undgå problemet kan man sætte kern.ipc.tls.enable=0 eller kern.ipc.tls.cbc_enable=0.
• CVE-2026-49424. Data-lækage (104 byte) fra kerne-stakken ved kald til linux-compat waitid(), som glemmer at nulstille den ubrugte del af linux-strukturen siginfo_t, når den overfører data fra freebsd'en. I almindelige GENERIC-kjerner er linux-emulatoren som standard deaktivert og aktiveres kun ved manuel indlæsning af modulet.
• CVE-2026-49425. Lignende som ovenfor, glemmer 32-bit kevent at nulstille den 32-bit struktur før overførsel af data fra den native 64-bit, hvilket fører til data-lækage fra stakken. Som standard er 32-bit kompatibilitet i kernen aktiveret (ikke modul).
• CVE-2026-58081, CVE-2026-58082. Sårbarheder i iconv. Den første: mange af dens moduler kontrollerer ikke størrelsen på den output-buffer der leveres af kaldende kode, før der skrives resultatet (nævnt HZ, UTF-7, VIQR, ZW). Den anden: modulet ISO-2022 bruger en 6-byte buffer i stakken til interne operationer, men der kan skrives op til 10 byte, hvilket beskadiger stakken. I sidste ende kan kørsel af iconv for konvertering til eller fra en af de nævnte kodninger med ikke-validerede input være udsat for buffer overflow.

Kilde: linux.org.ru