{"id":181790,"date":"2026-05-29T02:48:51","date_gmt":"2026-05-29T00:48:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata"},"modified":"2026-05-29T02:48:51","modified_gmt":"2026-05-29T00:48:51","slug":"uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/novosti-interneta\/uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata","title":{"rendered":"Schwachstellen in Unbound, Kata-Containers, BIND, PostgreSQL, HPLIP, MongoDB, Rsync, 7-zip, Yelp, qSnapper und Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Einige gef\u00e4hrliche Sicherheitsanf\u00e4lligkeiten, die k\u00fcrzlich entdeckt wurden:<\/p>\n
\n
Sechs Sicherheitsanf\u00e4lligkeiten in dem Datei-Synchronisierungswerkzeug rsync. Das gr\u00f6\u00dfte Risiko (CVE-2026-29518) wird durch einen Race-Condition-Fehler beim Verarbeiten von symbolischen Links verursacht und erlaubt eine privilegierte Ausf\u00fchrung, wenn rsync im Hintergrundmodus ohne chroot-Isolation betrieben wird. Ein Angriff erfolgt durch das Ersetzen einer Datei durch einen symbolischen Link, der auf eine beliebige Datei im System verweist, nachdem die \u00dcberpr\u00fcfung jedoch vor dem Beginn der Schreiboperation erfolgt ist. Die Sicherheitsanf\u00e4lligkeiten wurden in der rsync-Version 3.4.3 behoben. CVE in den Distributionen: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Sicherheitsanf\u00e4lligkeiten (CVE-2026-8631) in HPLIP, einer Sammlung von Open-Source-Treibern f\u00fcr Drucker und Multifunktionsger\u00e4te, die eine Erh\u00f6hung der Privilegien und die Ausf\u00fchrung von Code im System erm\u00f6glichen. Die Probleme werden durch die M\u00f6glichkeit der Command Injection und Buffer Overflow verursacht. Die Sicherheitsanf\u00e4lligkeiten wurden mit dem HPLIP-Update 3.26.4 behoben. CVE in den Distributionen: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Sicherheitsanf\u00e4lligkeiten im D-Bus-Dienst, der von qSnapper, einer grafischen Benutzeroberfl\u00e4che zur Verwaltung von Btrfs-Snapshots, verwendet wird. Diese Schwachstellen k\u00f6nnen zu einer Erh\u00f6hung der Berechtigungen im System f\u00fchren (CVE-2026-41046), zur Offenlegung von Informationen \u00fcber \u00c4nderungen zwischen Snapshots (CVE-2026-41047) und zum Umgehen der Authentifizierung beim Zugriff auf Polkit (CVE-2026-41045). Die gef\u00e4hrlichste Schwachstelle resultiert aus dem Fehlen einer \u00dcberpr\u00fcfung der Symbole \u201e..\/\u201c in den Pfaden, die an die Funktion snapper::Snapper() \u00fcber D-Bus \u00fcbergeben werden, was dazu genutzt werden kann, die Konfigurationsdatei f\u00fcr libsnapper in einem mit erh\u00f6hten Berechtigungen ausgef\u00fchrten Handler zu manipulieren. \n CVE in Distributionen: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.<\/p>\n<\/li>\n
Die Sicherheitsanf\u00e4lligkeit (CVE-2026-48095) im 7-Zip-Archivierungsprogramm f\u00fchrt zu einem Buffer Overflow bei der Verarbeitung von NTFS-komprimierten Daten. Potenziell kann diese Sicherheitsanf\u00e4lligkeit zur Ausf\u00fchrung des Angreifer-Codes f\u00fchren, wenn \u00fcber 7-Zip auf ein speziell gestaltetes NTFS-Dateisystem-Image zugegriffen wird. Die Sicherheitsanf\u00e4lligkeit wurde in der Version 7-Zip 26.01 behoben. CVE in Distributionen: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Im DNS-Server Unbound 1.25.1 wurden 11 Sicherheitsanf\u00e4lligkeiten behoben. Die gef\u00e4hrlichsten Schwachstellen sind: CVE-2026-33278 \u2014 potenzielles Remote Code Execution bei der Validierung von DNSSEC, CVE-2026-44608 \u2014 Zugriff auf bereits freigegebene Speicher im RPZ-Code und CVE-2026-42944 \u2014 Heap Overflow bei der Verarbeitung von nsid. CVEs in den Distributionen: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n