Den 20. maj 2026 annoncerede udviklerne af FreeBSD, at de havde rettet syv nye sårbarheder i systemet. Ikke alle er lige farlige, men nogle er særdeles problematiske.
CVE-2026-45251 — use-after-free i select-lignende systemkald, hvis de har procesdeskriptorer i deres venteliste (i FreeBSD 15 – er der også nye deskriptorer til jail), og disse deskriptorer blev lukket i en anden tråd, mens det ventende systemkald stadig var i venteposition. Ifølge denne commit, påvirkes også deskriptorer relateret til netmap (driver til accelereret direkte adgang til netværksadapteren), men der er ingen officiel information om dette. Procesdeskriptorer blev introduceret i FreeBSD 9, så sårbarheden har sandsynligvis eksisteret siden da. I den officielle udtalelse er det angivet, at sårbarheden tillader opnåelse af superbrugerprivilegier. Der er ingen mulighed for at neutralisere den uden en patch/opdatering.
CVE-2026-45250 — forkert beregning af bufferstørrelsen og efterfølgende skrivning uden for bufferen på stakken i systemkaldet setcred, selvom setcred selv kræver root-privilegier, sker stakkorruptionen, før privilegierne er blevet kontrolleret og er derfor tilgængelig for alle. Dette systemkald blev introduceret i FreeBSD 14.3 (det vil sige, tidligere versioner er ikke berørt) og giver en måde at sætte alle bruger- og gruppeidentiteter for den aktuelle proces med ét kald, i stedet for kombinationer af setuid+setgid+setgroups og det samme. Sårbarheden tillader udførsel af skadelig kode i kernelens kontekst. Der er ingen mulighed for at neutralisere den uden en patch/opdatering.
CVE-2026-45252 — manglende kontrol af afsluttende nul før kopiering af en streng modtaget fra fuse-demonen til en ny buffer. Der er imidlertid kontrol for maksimal størrelse af kopiering, så mere end 253 ekstra byte fra kernehusket kan ikke læses. Og der kan skrives op til 250 byte i «unallocated kernel heap space». Som standard er det forbudt i freebsd for ikke-root-brugere at montere filsystemer, hvilket betyder, at for at kunne introducere en skadelig fuse-daemon til kernen skal man være root. Men hvis sysctl vfs.usermount=1 – bliver systemet også sårbart for almindelige brugere. Man skal også tage hensyn til faren ved fuse-demonen i jail, hvor den kan være root (men dette er også normalt forbudt).
CVE-2026-45253 — ved brug af ptrace var det muligt at udføre et systemopkald med et forkert nummer i den debuggede proces, hvilket førte til, at kode, der ikke var beregnet til at blive udført som systemopkald i kernen, blev udført, med potentielt negativ indvirkning. Hvis security.bsd.unprivileged_proc_debug=0 er sat (hvilket er en god praksis for servere i øvrigt, og systeminstallatøren tilbyder endda at gøre dette valgfrie), vil brugerkonti og jailed-processer ikke kunne bruge ptrace, og dermed vil sårbarheden kun være tilgængelig for root.
CVE-2026-45255 — shell-kommando-indsættelse med root-rettigheder i bsdinstall/bsdconfig via navne på ondsindede trådløse netværk, der ikke blev escaperet, under visningen af deres liste. For ikke at støde på denne sårbarhed er det tilstrækkeligt ikke at se listen over trådløse netværk fra bsdinstall/bsdconfig.
CVE-2026-39461, CVE-2026-45254 — sårbarheder i libcasper-biblioteket (ikke i kernen). Biblioteket er designet til sikker tilpasset leverance af tjenester til processer, der er placeret i en sandkasse. En af sårbarhederne er relateret til buffer-overløb på stakken og beskadigelse af stakken ved at organisere filbeskrivelser i dette bibliotek med store numre (det var designet til numre op til 1024 - standardgrænsen for strukturer til systemopkaldet select). Den anden sårbarhed er muligheden for at fjerne pålagte begrænsningslister (bibliotekets ideologi er, at de begrænsninger, der engang er pålagt en proces, kun kan forstærkes) cap_net.
De rettede versioner af systemet har numre: 14.3-RELEASE-p14, 14.4-RELEASE-p5 og 15.0-RELEASE-p9. Det er også værd at bemærke et vigtigt punkt for nogle: FreeBSD 13.5 er for nylig blevet taget af support - den 30. april 2026, og der er ikke længere officielle rettelser til det (og for 13.x-grenen generelt). Men hvis du af en eller anden grund ikke ønsker at skynde dig med overgangen til 14.x-versionen, så passer patches for version 14.3 generelt også til kilden for 13.5, og CVE-2026-45250 er ikke relevant for 13-grenen, da den ikke har setcred().
Kilde: linux.org.ru
