Se ha descubierto una serie de vulnerabilidades en el núcleo de Linux y FreeBSD. Las vulnerabilidades en Linux permiten la ejecución remota de código, elevar privilegios en el sistema, salir de contenedores o eludir la aislamiento de máquinas virtuales. Las vulnerabilidades en FreeBSD permiten detener de forma remota el núcleo, elevar privilegios en el sistema y eludir la aislamiento del hipervisor Bhyve.
Vulnerabilidades en el núcleo de Linux:
- 5 vulnerabilidades, reveladas por el proyecto Zero Day Initiative antes de la publicación de correcciones debido a un error en el envío de información a la lista de distribución incorrecta:
- ZDI-CAN-33549 — una vulnerabilidad en el módulo ksmbd con implementación de archivos servidores basada en el protocolo SMB, que puede ser explotada para la ejecución remota de código a nivel de núcleo. El problema es causado por un desbordamiento de enteros en la función mbdirect_connection_rdma_xmit(), que se manifiesta si el núcleo se compila con las opciones «CONFIG_SMB_SERVER_SMBDIRECT=y» y «CONFIG_RDMA_RXE=y». Para realizar un ataque exitoso, el atacante debe tener la capacidad de escribir en un almacenamiento compartido proporcionado por el objetivo el servidor, que también debe utilizar tecnologías RDMA y SMB Direct. Se dispone de un prototipo de exploit que funciona en Debian 13.
- ZDI-CAN-33774 — una condición de carrera en el módulo del núcleo ksmbd, que provoca la escritura de 62 bytes de datos del encabezado SMB2 en un búfer de 40 bytes destinado al protocolo SMB1. La vulnerabilidad puede permitir la ejecución remota de código con acceso a almacenamiento SMB gestionado a través de ksmbd. Se dispone de un prototipo de exploit que funciona en Debian 13.
- ZDI-CAN-33367 — una vulnerabilidad en la pila de red del núcleo que permite a un usuario local obtener derechos de root en el sistema, sobrescribiendo datos del proceso en la caché de páginas, similar a las vulnerabilidades Dirty Frag y Fragnesia. Esta vez, el problema se debe a un error en la función
skb_zerocopy(). Se ha preparado un prototipo de exploit que funciona en diferentes versiones de Ubuntu. La corrección está disponible en forma de parche. Hasta ahora, solo los desarrolladores de Alma Linux han formado una actualización no programada de paquetes con el núcleo, en el que se corrige esta vulnerabilidad. - ZDI-CAN-34068 — un desbordamiento de búfer en el controlador gráfico VMWGFX, utilizado para implementar la aceleración 3D en entornos de VMware. Este problema permite a un usuario local obtener derechos de root en el sistema, si tiene acceso a la GPU virtual a través del dispositivo /dri/card*. Se dispone de un prototipo de exploit que funciona en Ubuntu 26.04.
- ZDI-CAN-34076 — vulnerabilidad en el controlador nvmet (NVMe Target), que provoca una filtración de información sobre el contenido de la memoria del núcleo.
- Se han revelado detalles y se han publicado prototipos de exploits para 5 vulnerabilidades en el núcleo, que permiten a un usuario no privilegiado obtener derechos de root en el sistema y eludir el aislamiento de contenedores. Al conjunto de vulnerabilidades se le ha asignado el nombre en código «Infinity Core». Los problemas ya han sido solucionados en las versiones recientes del núcleo.
- CVE-2026-98260 — acceso a la memoria después de su liberación debido a la reutilización de una estructura POSIX-timer, cuya memoria fue liberada en el hilo principal después de un fallo durante la ejecución de la llamada exec(), pero la referencia permaneció en la cola (timerqueue) en otro hilo. Se dispone de un prototipo de exploit, cuyo funcionamiento ha sido demostrado en Ubuntu 26.04 y en Android en el teléfono inteligente Samsung Galaxy S26 Ultra.
- CVE-2026-98256 — acceso a la memoria después de su liberación debido a una condición de carrera entre la llamada exec() en el hilo secundario y la limpieza de la cola de señales (sigqueue), que esperan ser procesadas. Durante las manipulaciones con la cola, puede ocurrir una situación en la que la referencia al manejador de señales permanezca en la cola después de liberar la memoria asociada, y luego sea utilizada al procesar señales. El funcionamiento del exploit ha sido demostrado en Ubuntu 26.04.
- CVE-2026-89754 — desbordamiento de búfer en la implementación de la llamada al sistema mincore(), que se produce debido a una condición de carrera al volver a recorrer las tablas de páginas de memoria después de ejecutar madvise(MADV_DONTNEED). El funcionamiento del exploit ha sido demostrado en Ubuntu 26.04.
- CVE-2026-80775 — acceso a la memoria después de su liberación en la llamada al sistema prctl(), que se produce debido a un seguimiento incorrecto de los contadores de referencias para los hash de futexes al ocurrir una
condición de carrera entre las tareas que comparten una estructura mm_struct durante una llamada anidada a vfork(). Un exploit que utiliza la vulnerabilidad para sobrescribir /usr/bin/passwd en la caché de páginas ha sido demostrado en Ubuntu 26.04. - CVE-2026-98385 — acceso a la memoria después de su liberación en el controlador de caché del programador de tareas, que ocurre porque el programador actualiza los campos de estadísticas en la estructura mm_struct para la tarea después de liberar la memoria asociada, en caso de realizar una llamada exec() en otro núcleo de CPU. La vulnerabilidad se manifiesta en núcleos con la opción CONFIG_SCHED_CACHE habilitada. La operación del exploit se demostró en
Arch Linux con núcleo 7.2.4.
- La vulnerabilidad Vghost (CVE-2026-74580) en la subsistema del núcleo vhost, utilizada para acelerar las operaciones de entrada/salida a través de Virtio en sistemas de virtualización. La vulnerabilidad es causada por un manejo incorrecto de la caché de tablas de traducción de direcciones de entrada/salida (IOTLB) y puede ser utilizada para elevar sus privilegios en el sistema y para eludir la aislamiento del sistema invitado. Al reconfigurar direcciones o tamaños de colas (vring) a través de llamadas VHOST_SET_VRING_ADDR o VHOST_SET_VRING_NUM, la caché vq->meta_iotlb[] no se limpiaba, lo que resultaba en la traducción de nuevas direcciones utilizando registros de mapeo de memoria que ya eran inválidos.
Se ha publicado un prototipo de exploit para obtener derechos de root, probado en distribuciones Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 y Oracle Linux 10.2.
Puede utilizarse la vulnerabilidad para ejecutar código a nivel del núcleo del sistema host mediante manipulaciones con la llamada VIRTIO_F_RING_RESET en el sistema invitado en entornos virtualizados con IOMMU virtual.
El problema se manifiesta desde el núcleo Linux 4.11 y fue resuelto en las versiones 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 y 7.2. Como solución alternativa, se puede restringir el acceso a los dispositivos /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi y /dev/vhost-vdpa-*.
Vulnerabilidades en FreeBSD (resueltas en las actualizaciones 15.1-RELEASE-p5, 14.5-RELEASE-p2 y 14.4-RELEASE-p11):
- CVE-2026-101308 — acceso a la memoria después de su liberación en el controlador de sonido, que ocurre debido a una condición de carrera entre la operación de cambio de tamaño de búfer y el mapeo de memoria a través de mmap. La vulnerabilidad potencialmente permite a un usuario local, que tiene acceso al dispositivo de sonido, obtener derechos de root.
- CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 — vulnerabilidades en los componentes del hipervisor Bhyve, que permiten a través de manipulaciones en el sistema huésped ejecutar código en el entorno del host. Los problemas son causados por desbordamientos de búfer debido a condiciones de carrera en el modelo de controlador xHCI (USB 3), así como la falta de verificaciones de tamaño de registros en los modelos de dispositivos HDA (High Definition Audio) y framebuffer.
- CVE-2026-101307 — desbordamiento de enteros en el módulo tcp_rack con la implementación del algoritmo de detección de pérdida de paquetes RACK (Recent ACKnowledgment), que conduce a la asignación de un búfer demasiado pequeño para contener todos los datos recibidos. La vulnerabilidad permite sobrescribir hasta 512 KB en el área fuera del búfer al enviar un gran número de paquetes ACK en una conexión TCP establecida. Se observa que la explotación puede llevar al núcleo a un estado de panic.
Fuente: opennet.ru
