Haavatavus süsteemikõnes execve, mis annab root-juurdepääsu FreeBSD-s

FreeBSD-s on avastus (CVE-2026-7270), mis võimaldab privileegideta kasutajatel käivitada koodi kernel'i õigustes ning saada süsteemile root-juurdepääs. Haavatavus mõjutab kõiki alates 2013. aastast loodud FreeBSD väljaandeid. Avalikult on saadaval eksploit, mille tõhusus on kontrollitud FreeBSD 11.0 kuni 14.4 süsteemides. Haavatavus on kõrvaldatud FreeBSD 15.0-RELEASE-p7, 14.4-RELEASE-p3, 14.3-RELEASE-p12 ja 13.5-RELEASE-p13 värskendustes. Vanemate harude jaoks on saadaval plaastrid.

Probleem on põhjustatud pufferi ülevoost süsteemikõne execve, mis esineb skriptides esimeses reas määratud interpreteerija tee töötlemisel (nt "#!/bin/sh"). Ülevoog tekib memmove funktsiooni kutse korral vale matemaatilise väljendi koostamise tõttu, millega arvutatakse pufferisse kopeeritavate argumentide suurust. Selle asemel, et lahutada "args->endp" väärtustest "args->begin_argv" ja "consume", lahutatakse "args->endp" ainult väärtus "args->begin_argv", samas kui muutuja consume lisatakse tulemusele, mitte ei lahutata, st tulemusena kopeeritakse rohkem andmeid kahe väärtuse võrra "consume". memmove(args->begin_argv + extend, args->begin_argv + consume, — args->endp — args->begin_argv + consume); + args->endp — (args->begin_argv + consume));

Overflow allows overwriting elements of the 'exec_map' structure from another process located in adjacent memory. In the exploit, the overflow is used to overwrite the content of 'exec_map' for periodically run privileged processes in the system. The chosen process is sshd, which, upon each network connection, forks and executes the '/usr/libexec/sshd-session' process with root privileges.

The exploit sets the environment variable 'LD_PRELOAD=/tmp/evil.so' for this process, leading to the library being loaded in the context of sshd-session. The injected library creates an executable file /tmp/rootsh in the filesystem with the suid root flag. The likelihood of a successful overflow is estimated at 0.6%, but due to repeated attempts, successful exploitation is achieved in about 6 seconds on a system with a 4-core CPU.

Additionally, several other vulnerabilities have been fixed in FreeBSD:

• CVE-2026-35547, CVE-2026-39457 — jõudmisviga libnv teegis, mida kasutatakse kernelis ja baasrakendustes võtme/väärtuse vormingus loendite töötlemiseks ning andmevahetamiseks protsesside vahel. Esimene probleem on tingitud vale sõnumi suuruse arvutamisest, kui töötatakse välja spetsiifilisi IPC sõnumi päiseid. Teine probleem põhjustab virna ületäitumise andmevahetamisel soketi kaudu, kuna pole kontrollitud soketi deskriptorite suuruse ja select() funktsioonis kasutatava puhvri suuruse vastavust. Potentsiaalselt võivad need haavatavused võimaldada süsteemis privileegide tõstmist.
• CVE-2026-42512 — kaugelt kasutatav puhvri ületäitumine dhclient'is, mis tuleneb valest pointerite massiivi suuruse arvutamisest, mida kasutatakse keskkonnamuutujate edastamiseks dhclient-script'is. On võimalik, et luuakse kuritarvitamisvõimekus kaugelt koodi täitmiseks spetsiaalselt struktureeritud DHCP-paketi saatmise kaudu.
• CVE-2026-7164 — steki ülevool pf-i pakettfilteris, mis tekib spetsiaalselt kujundatud SCTP-pakettide töötlemisel. Probleem on tingitud piiramatu rekursiivsest SCTP parameetrite tõlgendamisest.
• CVE-2026-42511 — võimalus lisada dhclient.conf-faili juhuslikke direktiive, kuna BOOTP-väljade kahekordsete sulgude nõuetekohane põgenemine puudub, mis saadakse välisest DHCP-serverist. Järgneva tõlgendamise käigus dhclient-protsessis edastatakse ründaja määratud väli dhclient-script'ile, mis võib võimaldada juhuslike käskude täitmist root-õigustega süsteemides, mis kasutavad dhclient'i, kui need ühenduvad ründaja kontrolli all oleva DHCP-serveriga.
• CVE-2026-6386 — puuduolev suure mälu lehe nõuetekohane töötlemine kernelifunktsioonis pmap_pkru_update_range(). Kohtless kasutaja võib sundida pmap_pkru_update_range() käsitlema kasutaja ruumi mälu kui lehte mälulehe tabelis ja saavutada mälu ala üle kirjutamise, millele tal ei ole ligipääsu.
• CVE-2026-5398 — juurdepääs juba vabastatud mälu alale TIOCNOTTY töötleja kaudu, mis võimaldab privileege mitteomaval protsessil saavutada root-õigusi.

Allikas: opennet.ru