#!\/bin\/sh<\/code>). Der \u00dcberlauf tritt beim Aufruf der Funktion memmove aufgrund einer fehlerhaften Berechnung des mathematischen Ausdrucks zur Ermittlung der Gr\u00f6\u00dfe der in den Puffer kopierten Argumente auf. Anstelle der Subtraktion von args->endp<\/code> mit den Werten von args->begin_argv<\/code> und consume<\/code> wurde nur der Wert von args->begin_argv<\/code> von args->endp<\/code> subtrahiert, w\u00e4hrend die Variable consume<\/code> zu dem Ergebnis addiert und nicht subtrahiert wurde, was bedeutet, dass insgesamt zwei Werte von consume<\/code> zu viel kopiert wurden. \tmemmove(args->begin_argv + extend, args->begin_argv + consume, args->endp - args->begin_argv + consume<\/code>); +args->endp - (args->begin_argv + consume)<\/code>; <\/p>\nDer \u00dcberlauf erm\u00f6glicht es, Elemente der Struktur exec_map<\/code> aus dem benachbarten Speicherbereich von einem anderen Prozess zu \u00fcberschreiben. Im Exploit wird der \u00dcberlauf genutzt, um den Inhalt von exec_map<\/code> in der Regelm\u00e4\u00dfigkeit von privilegierten Prozessen, die im System laufen, zu \u00fcberschreiben. Als solches Verfahren wird sshd<\/code> ausgew\u00e4hlt, das bei jeder Herstellung einer Netzwerkverbindung \u00fcber den Aufruf von fork und execve den Prozess \/usr\/libexec\/sshd-session<\/code> mit Root-Rechten abzweigt. <\/p>\nDer Exploit setzt f\u00fcr diesen Prozess die Umgebungsvariable LD_PRELOAD=\/tmp\/evil.so<\/code> ein, was dazu f\u00fchrt, dass in dem Kontext von sshd-session<\/code> seine Bibliothek geladen wird. Die hinzugef\u00fcgte Bibliothek erstellt eine ausf\u00fchrbare Datei \/tmp\/rootsh<\/code> mit dem SUID-Flag f\u00fcr Root im Dateisystem. Die Wahrscheinlichkeit eines erfolgreichen \u00dcberlaufs wird auf 0,6 % gesch\u00e4tzt, aber durch die zyklische Wiederholung der Versuche wird eine erfolgreiche Ausnutzung in etwa 6 Sekunden auf einem System mit einem 4-Kern-CPU erreicht. ![\"Sicherheitsanf\u00e4lligkeit](\"\/wp-content\/uploads\/2026\/05\/6d8779e37e52d9af205b881f8e8a065c.png\")
<\/center> <\/p>\nDar\u00fcber hinaus wurden in FreeBSD mehrere weitere Sicherheitsanf\u00e4lligkeiten behoben: <\/p>\n
\n- CVE-2026-35547, CVE-2026-39457 \u2014 Puffer\u00fcberl\u00e4ufe in der Bibliothek libnv, die im Kernel und in Anwendungen des Betriebssystems verwendet wird, um Schl\u00fcssel-Wert-Listen zu verarbeiten und den Datenaustausch bei der interprozessualen Kommunikation zu organisieren. Das erste Problem wird durch die fehlerhafte Berechnung der Nachrichtenl\u00e4nge beim Verarbeiten speziell formatierter IPC-Nachrichtenk\u00f6pfe verursacht. Das zweite Problem f\u00fchrt zu einem Stack\u00fcberlauf bei der Daten\u00fcbertragung \u00fcber Sockets aufgrund des Fehlens einer Gr\u00f6\u00dfen\u00fcberpr\u00fcfung des Socket-Deskriptors im Verh\u00e4ltnis zur Gr\u00f6\u00dfe des in der Funktion select() verwendeten Puffers. Diese Sicherheitsanf\u00e4lligkeiten k\u00f6nnen potenziell zur Privilegienerh\u00f6hung im System genutzt werden.\n
- CVE-2026-42512 \u2014 Ein aus der Ferne ausnutzbarer Puffer\u00fcberlauf in dhclient, der aufgrund einer fehlerhaften Berechnung der Gr\u00f6\u00dfe des Arrays von Zeigern, das f\u00fcr die \u00dcbergabe von Umgebungsvariablen an das dhclient-script verwendet wird, auftritt. Es ist nicht ausgeschlossen, einen Exploit zu erstellen, um \u00fcber das Senden eines speziell gestalteten DHCP-Pakets aus der Ferne Code auszuf\u00fchren.\n
- CVE-2026-7164 \u2014 Stack\u00fcberlauf im Paketfilter pf, der beim Verarbeiten speziell formatierter SCTP-Pakete auftritt. Das Problem wird durch die unkontrollierte rekursive Analyse der SCTP-Parameter verursacht.\n
- CVE-2026-42511 \u2014 die M\u00f6glichkeit, beliebige Direktiven in dhclient.conf einzuf\u00fcgen, aufgrund unzureichender Escape-Behandlung von doppelten Klammern in BOOTP-Feldern, die von einem externen DHCP-Server empfangen werden. Beim anschlie\u00dfenden Parsen dieser Datei durch den dhclient-Prozess wird das vom Angreifer angegebene Feld an das dhclient-script \u00fcbergeben, was zur Ausf\u00fchrung willk\u00fcrlicher Befehle mit Root-Rechten auf Systemen, die dhclient verwenden, f\u00fchren kann, wenn sie auf einen von einem Angreifer kontrollierten DHCP-Server zugreifen.\n
- CVE-2026-6386 \u2014 Fehlende Handhabung gro\u00dfer Speicherseiten in der Funktion des Kernels pmap_pkru_update_range(). Ein nicht privilegierter Benutzer kann pmap_pkru_update_range() dazu bringen, Speicher aus dem Benutzerspeicherraum wie eine Seite in der Seitentabelle zu behandeln und eine \u00dcberschreibung eines nicht zug\u00e4nglichen Speicherbereichs zu erzwingen.\n
- CVE-2026-5398 \u2014 Zugriff auf bereits freigegebenen Speicherbereich im Handler TIOCNOTTY, der es einem nicht privilegierten Prozess erm\u00f6glicht, Root-Rechte zu erlangen. <\/ul>\n