Eine Reihe von Schwachstellen im Linux- und FreeBSD-Kernel wurde entdeckt. Die Schwachstellen in Linux ermöglichen das AusfĂŒhren von Code aus der Ferne, das Erhöhen der Berechtigungen im System, das Verlassen von Containern oder das Umgehen der Isolation virtueller Maschinen. Die Schwachstellen in FreeBSD erlauben es, den Kernel aus der Ferne zu stoppen, die eigenen Berechtigungen im System zu erhöhen und die Isolation des Hypervisors Bhyve zu umgehen.
Schwachstellen im Linux-Kernel:
- 5 Schwachstellen, die vom Zero Day Initiative-Projekt vor der Veröffentlichung von Patches aufgrund einer fehlerhaften Versendung von Informationen an die falsche Mailingliste enthĂŒllt wurden:
- ZDI-CAN-33549 â eine Schwachstelle im ksmbd-Modul zur Implementierung von Dateisystemen Server auf Basis des SMB-Protokolls, die zum AusfĂŒhren von Code aus der Ferne auf Kernel-Ebene ausgenutzt werden kann. Das Problem wird durch einen ganzzahligen Ăberlauf in der Funktion mbdirect_connection_rdma_xmit() verursacht, der auftritt, wenn der Kernel mit den Optionen âCONFIG_SMB_SERVER_SMBDIRECT=yâ und âCONFIG_RDMA_RXE=yâ kompiliert wurde. FĂŒr einen erfolgreichen Angriff muss der Angreifer die Möglichkeit haben, in den shared Storage zu schreiben, der vom angegriffenen Server, der auch RDMA- und SMB-Direct-Technologien nutzen muss. Ein funktionierender Exploit-Prototyp ist fĂŒr Debian 13 verfĂŒgbar.
- ZDI-CAN-33774 â ein Race Condition im ksmbd-Kernelmodul, das dazu fĂŒhrt, dass 62 Bytes Daten aus dem SMB2-Header in einen 40-Byte-Puffer fĂŒr das SMB1-Protokoll geschrieben werden. Die Schwachstelle kann zur AusfĂŒhrung von Code aus der Ferne fĂŒhren, wenn Zugriff auf das ĂŒber ksmbd verarbeitete SMB-Storage besteht. Ein funktionierender Exploit-Prototyp ist fĂŒr Debian 13 verfĂŒgbar.
- ZDI-CAN-33367 â eine Schwachstelle im Netzwerk-Stack des Kernels, die es einem lokalen Benutzer ermöglicht, Root-Rechte im System zu erlangen, indem er die Daten eines Prozesses im Seiten-Cache ĂŒberschreibt, Ă€hnlich wie bei den Schwachstellen Dirty Frag und Fragnesia. Dieses Mal wird das Problem durch einen Fehler in der Funktion
skb_zerocopy() verursacht. Ein funktionierender Exploit-Prototyp wurde fĂŒr verschiedene Ubuntu-Versionen vorbereitet. Ein Patch zur Behebung ist verfĂŒgbar. Von den Distributionen haben bislang nur die Entwickler von Alma Linux ein auĂerplanmĂ€Ăiges Update der Kernel-Pakete veröffentlicht, um diese Schwachstelle zu beheben. - ZDI-CAN-34068 â ein PufferĂŒberlauf im VMWGFX-Grafiktreiber, der fĂŒr die Implementierung von 3D-Beschleunigung in VMware-Umgebungen verwendet wird. Das Problem ermöglicht es einem lokalen Benutzer, Root-Rechte im System zu erlangen, wenn er Zugang zur virtuellen GPU ĂŒber das GerĂ€t /dri/card* hat. Ein funktionierender Exploit-Prototyp ist fĂŒr Ubuntu 26.04 verfĂŒgbar.
- ZDI-CAN-34076 â Schwachstelle im nvmet-Treiber (NVMe-Ziel), die zu einem Informationsleck ĂŒber den Inhalt des Kernel-Speichers fĂŒhrt.
- Details wurden veröffentlicht und Prototypen von Exploits fĂŒr 5 Schwachstellen im Kernel veröffentlicht, die es einem nicht privilegierten Benutzer ermöglichen, Root-Rechte im System zu erhalten und die Container-Isolation zu umgehen. Der Schwachstellensatz trĂ€gt den Codenamen "Infinity Core". Die Probleme wurden bereits in den aktuellen Kernel-Versionen behoben.
- CVE-2026-98260 â Zugriff auf den Speicher nach dessen Freigabe aufgrund der Wiederverwendung einer POSIX-Timer-Struktur, deren Speicher im Haupt-Thread nach einem Fehler beim Aufruf von exec() freigegeben wurde, aber der Verweis in der Warteschlange (timerqueue) in einem anderen Thread verblieb. Ein Prototyp des Exploits ist verfĂŒgbar, dessen FunktionalitĂ€t in Ubuntu 26.04 und auf Android-Smartphones wie dem Samsung Galaxy S26 Ultra demonstriert wurde.
- CVE-2026-98256 â Zugriff auf den Speicher nach dessen Freigabe aufgrund eines Race Conditions zwischen dem exec()-Aufruf im sekundĂ€ren Thread und der Bereinigung der Signalwarteschlange (sigqueue), die auf die Verarbeitung wartet. Bei der Manipulation der Warteschlange kann eine Situation entstehen, in der der Verweis auf den Signalhandler in der Warteschlange verbleibt, nachdem der zugehörige Speicher freigegeben wurde, und dann bei der Signalbearbeitung verwendet wird. Die FunktionalitĂ€t des Exploits wurde in Ubuntu 26.04 demonstriert.
- CVE-2026-89754 â BufferĂŒberlauf in der Implementierung des Systemaufrufs mincore(), der aufgrund einer Race Condition beim erneuten Durchlaufen der Speicherseitentabellen nach dem AusfĂŒhren von madvise(MADV_DONTNEED) auftritt. Die FunktionalitĂ€t des Exploits wurde in Ubuntu 26.04 demonstriert.
- CVE-2026-80775 â Zugriff auf den Speicher nach dessen Freigabe im Systemaufruf prctl(), verursacht durch eine fehlerhafte Verfolgung der ReferenzzĂ€hler fĂŒr die Hashes der Futexe aufgetreten wĂ€hrend eines Race Conditions zwischen Aufgaben, die eine mm_struct-Struktur gemeinsam nutzen, bei einem verschachtelten Aufruf von vfork(). Ein Exploit, der die Schwachstelle zur Ăberschreibung von /usr/bin/passwd im Seitencache verwendet, wurde in Ubuntu 26.04 demonstriert.
Die Nutzung des Exploits zeigt, wie die Schwachstelle zur Ăberschreibung von /usr/bin/passwd im Seitencache ausgenutzt wurde. - CVE-2026-98385 â Zugriff auf Speicher nach dessen Freigabe im Cache-Handler des Task-Schedulers, verursacht durch die Aktualisierung der Statistikfelder in der Struktur mm_struct fĂŒr den Task, nachdem der zugehörige Speicher bei einem exec()-Aufruf auf einem anderen CPU-Kern freigegeben wurde. Die Schwachstelle tritt in Kernen mit aktivierter CONFIG_SCHED_CACHE-Option auf. Der Exploit wurde demonstriert in
Arch Linux mit Kernel 7.2.4.
- Die Schwachstelle Vghost (CVE-2026-74580) in der Vhost-Kernel-Subsystem, die zur Beschleunigung der Ein- / Ausgaben durch Virtio in Virtualisierungssystemen verwendet wird. Die Schwachstelle resultiert aus unsachgemĂ€Ăer Handhabung des IO-AdressĂŒbersetzungscaches (IOTLB) und kann zur Erhöhung eigener Privilegien im System sowie zur Umgehung der Isolation des Gastsystems genutzt werden. Bei der Neuzuordnung von Adressen oder der GröĂen von Warteschlangen (vring) ĂŒber die Aufrufe VHOST_SET_VRING_ADDR oder VHOST_SET_VRING_NUM wurde der Cache vq->meta_iotlb[] nicht geleert, was dazu fĂŒhrte, dass neue Adressen mit bereits ungĂŒltigen Speicherzuordnungsdaten ĂŒbersetzt wurden.
Ein Prototyp des Exploits fĂŒr Root-Rechte wurde veröffentlicht und in den Distributionen Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 und Oracle Linux 10.2 getestet.
Die Schwachstelle könnte ausgenutzt werden, um Code auf Kernel-Ebene des Hostsystems durch Manipulation des Aufrufs VIRTIO_F_RING_RESET im Gastbetriebssystem in virtualisierten Umgebungen mit virtio IOMMU auszufĂŒhren.
Das Problem tritt erstmals ab Kernelversion 4.11 auf und wurde in den Versionen 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 und 7.2 behoben. Als vorĂŒbergehende SchutzmaĂnahme kann der Zugriff auf die GerĂ€te /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi und /dev/vhost-vdpa-* eingeschrĂ€nkt werden.
Schwachstellen in FreeBSD (behebt in den Updates 15.1-RELEASE-p5, 14.5-RELEASE-p2 und 14.4-RELEASE-p11):
- CVE-2026-101308 â Zugriff auf Speicher nach dessen Freigabe im Soundtreiber, verursacht durch einen Race Condition zwischen dem Bufferskalierungsoperation und der Speicherzuordnung ĂŒber mmap. Die Schwachstelle ermöglicht es einem lokalen Benutzer mit Zugriff auf das AudiogerĂ€t potenziell, Root-Rechte zu erlangen.
- CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 â Schwachstellen in den Bhyve-Hypervisor-Komponenten, die durch Manipulationen im Gastbetriebssystem Code im Host-Umfeld ausfĂŒhren lassen. Diese Probleme ergeben sich aus einem PufferĂŒberlauf aufgrund eines Wettbewerbszustands im xHCI (USB 3)-Controller-Modell sowie aus dem Fehlen notwendiger GröĂenprĂŒfungen der Aufzeichnungen in den HDA (High Definition Audio)-GerĂ€temodellen und dem Framebuffer.
- CVE-2026-101307 â GanzzahlĂŒberlauf im tcp_rack-Modul mit der Implementierung des RACK (Recent ACKnowledgment)-Algorithmus zur Paketverlustbestimmung, was zur Zuteilung eines zu kleinen Puffers fĂŒhrt, um alle empfangenen Daten unterzubringen. Die Schwachstelle ermöglicht es, bis zu 512 KB im Bereich auĂerhalb des Puffers zu ĂŒberschreiben, wenn eine groĂe Anzahl von ACK-Paketen in einer aktiven TCP-Verbindung gesendet wird. Es wird festgestellt, dass die Ausnutzung zu einem Kernel-Panic fĂŒhren kann.
Quelle: opennet.ru
