Sårbarheder i LXD, Incus, Flatpak, GitLab, Radicle, Linux-kernen, WordPress, OpenVPN, NTFS-3G, FreeRDP, CUPS og Dovecot.

Flere nyligt identificerede farlige sårbarheder, der gør det muligt at opnå root-adgang i systemet eller udføre kode eksternt.

• 7 sårbarheder i container management-systemet LXD og 11 sårbarheder i forken Incus. Flere sårbarheder, klassificeret som kritiske, tillader lokale, ikke-privilegerede brugere at ændre vilkårlige filer i systemet eller køre deres egen kode med root-rettigheder. Sårbarhederne er blevet rettet i LXD version 6.9, 5.21.8, 5.0.10 og 4.0.14 samt i Incus version 7.5.1. Problemerne skyldes fejlagtig behandling af filstier, problemer med håndtering af symbolske links og mangel på inputvalidering i koden til migrering og sikkerhedskopiering af isolerede miljøer eller indlæsning af systembilleder:
  • CVE-2026-85526 — overskrivning af vilkårlige filer i systemet ved behandling af en sikkerhedskopi, der indeholder i subvolumes[].path en monteringspunktsti af typen «..\/..\/..\/..\/etc\/cron.d».
  • CVE-2026-85185 — skrivning og sletning af vilkårlige filer ved at angive stier med «..\/» i navnene på btrfs delmængder.
  • CVE-2026-87799 — skrivning til en vilkårlig fil i systemet via substitution af symbolske links under migrering. virtual machines.
  • CVE-2026-87798 — overskridelse af grundkataloget for den virtuelle maskine under rekursiv overførsel af filer.
  • CVE-2026-86334 — overskridelse af grundkataloget ved eksport af et billede udefra. server.
  • CVE-2026-86335 — adgang til private billeder fra virtuelle maskiner af andre brugere.
  • CVE-2026-97335 — omgåelse af adgangsbegrænsninger til projekter.
• Sårbarheder i systemet for selvstændige pakker Flatpak. Problemerne er blevet rettet i Flatpak version 1.18.1. Blandt de mest farlige sårbarheder:
  • CVE-2026-90616 — brug af symbolske links til at omgå sandbox-isoleringen og få fuld adgang til værtsfilssystemet;
  • Opblæsning af privilegier til root-bruger via substitution af symbolsk link (CVE ikke tildelt);
  • CVE-2026-9627 — skrivning af filer med root-rettigheder via manipulation med filstier;
  • CVE-2026-96275 — skrivning af filer med root-rettigheder via manipulation med symbolske links;
  • CVE-2026-96276 — skrivning af filer med root-rettigheder via substitution af «..\/» i filstier under udførelse af kommandoen «flatpak build-init»;
  • CVE-2026-96279 — læsning af vilkårlige filer i det primære system ved at oprette en hård link under udpakning af OCI-arkiv.
  • CVE-2026-92162 — adgang til filer uden for basisbiblioteket via substitutionen «..\/» i DeployAppstream-parametre.
  • CVE-2026-96280 — buffer overflow i delta-opdateringshandleren OCI på 32-bit systemer.
• To kritiske sårbarheder i platformen til samarbejdende udvikling GitLab, der giver en fjernautentificeret bruger mulighed for at køre sin kode på serveren gennem substitution af en specielt udformet regulær udtryk i CI\/CD-indstillinger. Sårbarhederne findes i parseren for regulære udtryk og skyldes dobbelt frigivelse af hukommelse (CVE-2026-89078) og heltals overflow (CVE-2026-93577). Problemerne er løst i versionerne 19.4.1, 19.3.3, 19.2.7.
• To kritiske sårbarheder i netværksprotokollen, der anvendes på noderne i den decentraliserede platform til samarbejdende udvikling Radicle. Den første sårbarhed tillader visning af data, som noderne udveksler via trafikovervågning. Den anden sårbarhed muliggør forfalskning af nodens identifikator og adgang til private repositories. I kombination gør sårbarhederne det muligt at udtrække indholdet af enhver repository fra Radicle-noder.
• Sårbarhed i Linux-kernen, forårsaget af adgang til allerede frigivet hukommelse (use-after-free) på grund af en race condition i modulet espintcp, der anvendes til indkapsling af ESP-protokollen (Encapsulating Security Payload) i TCP (ESP-in-TCP, RFC 8229). Problemet blev løst i kernen i februar forud for version 7.0. For nogle dage siden blev der oprettet et fungerende exploit for sårbarheden, der muliggør kørsel af kode med root-rettigheder i systemet. Eksploitens funktionalitet blev demonstreret i CentOS Stream 9 og Ubuntu 26.04 LTS.
• Kritisk sårbarhed (CVE-2026-87902) i WordPress content management system, der tillader en ikke-autentificeret besøgende på webstedet at udføre PHP-kode på serveren gennem manipulation af side-skabeloner, hvis filen pearcmd.php findes på serveren (tilgængelig i den officielle dockerbillede og i standard cPanel-konfiguration). Problemet optræder også i forked ClassicPress. Sårbarheden bliver aktivt udnyttet af angribere til at overtage kontrol over websteder. En løsning er blevet udgivet for 25 WordPress-versioner, fra 7.1.2 til 4.7.37.
• 7 sårbarheder i OpenVPN, herunder problemer forårsaget af dobbelt frigivelse af hukommelsen (CVE-2026-84471), forkert escape af specialtegn ved kørsel af kommandotolk (CVE-2026-84256) og enbyte-buffer overflow ved parsing af DHCP-indstillinger (CVE-2026-81738). Problemerne er blevet løst i OpenVPN version 2.6.23.
• 8 sårbarheder i NTFS-3G-pakken, som potentielt muliggør kørsel af kode med root-rettigheder ved behandling af specielt formaterede partitioner eller diskbilleder med NTFS-filsystem. Alle sårbarheder skyldes buffer overflow. Problemerne er løst i NTFS-3G version 2026.9.18.
• Sårbarhed i FreeRDP, der muliggør oprettelse af RDP-forbindelse med serveren uden autentificering. Problemet er løst i FreeRDP version 3.31.0.
• Sårbarhed (CVE-2026-87766) i værktøjet til oprettelse af isolerede miljøer, Bubblewrap, der gør det muligt at skrive filer uden for sandbox-miljøet under konfiguration af containeren via manipulation med symbolske links.
• En exploit til sårbarheden i CUPS printerserveren er blevet offentliggjort, hvilket muliggør, at en lokal bruger kan opnå root-rettigheder i systemet ved at overskrive filen /etc/cups/cups-files.conf (ved at angive denne fil som printerens URI) og erstatte kaldet til cups-exec. Opdatering til CUPS er endnu ikke udgivet.
• Adgang til allerede frigivet hukommelse (CVE-2026-42007) i Dovecot IMAP-serveren, der muliggør, at en autentificeret bruger kan få udført sin kode på serveren ved brug af et specielt format Sieve-script. Sårbarheden er blevet løst i Dovecot version 2.4.5.

Kilde: opennet.ru