Ohtlikud haavatavused Apache httpd, FreeBSD, Linuxi tuumas, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 ja OpenSSL.

Viimase aja tuvastatud ohtlikud haavatavused, mis võimaldavad saada root-juurdepääsu süsteemis või saavutada kaugkoodi täitmist:

• 20 haavatavust Apache httpd-s, sealhulgas puhversättimine mod_vhost_aliases (CVE-2026-63292), mis võib potentsiaalselt võimaldada kaugkoodi täitmist saates HTTP-päringu koos suure HTTP-pealkirjaga Host. Haavatavus ilmneb, kui VirtualDocumentRoot direktiivis on määratud hostinime asendustäide ja LimitRequestFieldSize limiit on suurendatud.

  Muude ohtlike probleemide hulgas: mälule pärast selle vabastamist viitamine mod_rewrite'is konstruktsiooni %{LA-U:HTTP:…} puhul (CVE-2026-56154); puhversättimine mod_charset_lite'is (CVE-2026-56153); juba vabastatud mälule viitamine mod_http2-s (CVE-2026-57941); puhversättimine failide teede apistamisel Windowsis (CVE-2026-59685); täisarvude ületäitumine mod_dav_fs-is (CVE-2026-93546). Probleemid on kõrvaldatud versioonis 2.4.69.

• 9 haavatavust FreeBSD-s. Tuvastatud probleemide hulgas: puhversättimine, mis põhjustab koodi täitmist tuumatasemel semop süsteemi kutsumise manipuleerimise tõttu (CVE-2026-58098); privileegide tõus pärast mälule viitamise vabastamist kqueue'is (CVE-2026-58099); juurkataloogist isolatsiooni 'jail' keskkonnast väljumine (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); tuuma krahh spetsiaalselt vormistatud võrgu paketi saatmise tõttu KTLS-i sisselülitamisel (CVE-2026-101302); võrgu isolatsiooni mehhanismide ületamine 'jail' keskkonnas (CVE-2026-101303). Haavatavused on kõrvaldatud FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 ja 14.4-RELEASE-p10 värskendustes.
• 6 haavatavust LibreOffice'is, mis avades spetsiaalselt vormistatud dokumente toovad kaasa koodi täitmise (CVE-2026-63277, eksploit), võimaldavad kirjutada juhuslikesse failidesse (CVE-2026-63266) või lekkida kohalike failide sisu (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Probleemid on kõrvaldatud LibreOffice versioonides 26.2.5 ja 26.8.0.
• Haavatavus (CVE-2026-59265, eksploit) Apache OpenOffice'is, mis toob kaasa koodi täitmise ava spetsiaalselt vormistatud dokumendi tõttu Java integreerimise funktsioonide vea tõttu. Probleem lahendatakse versioonis 4.1.17, mis on hetkel kandidaat versioonide testimiseks.
• Haavatavused serveris CUPSi trükised. Seni on avalikustatud teave 14 probleemi kohta, mille ohtlikkustase on alla 7 (CVSS), samas kui ohtlikumate probleemide nimekiri avaldatakse pärast embargo lõppu, et anda aega rikkeparanduste tegemiseks distribuutides. Kõige ohtlikumad avalikustatud haavatavused võimaldavad privileegide tõstmist (CVE ei ole määratud) ja kaugkoodi käitamist kasutaja lp õigustes (CVE-2026-55453) IPP-printeri juurde pöördumise korral, mis kuulub ründajale. Probleemid on lahendatud CUPS 2.4.20 väljaandes.
• Kernis Linux esinenud haavatavus (CVE-2026-80521, eksploit) võimaldab isoleeritud konteinerist pääseda host-süsteemi. Haavatavus on põhjustatud võidusituatsioonist AF_UNIXi socketite teostuses, mis viib mälutöötluse lõpetamise järel, mille abil on võimalik teostada juhuslikku koodi tuumatasemel. Probleem on lahendatud augustikuu kerni uuendustes.
• Debian GNU/Linux 13 jaoks on avaldatud uuendus Linuxi kerneliga 6.12.111-1, milles on kõrvaldatud 1313 haavatavust.
• Haavatavus (CVE-2026-94545) Next.js platvormis võimaldab kaugsel omakorda autentimist koodi käivitada serveris, saates päringu SVG-pildi genereerimiseks, olles serveris OG kaardigeneratsiooni töötleja olemas. Probleem on seotud Satori teegi haavatavusega, mida kasutatakse HTMLi ja CSSi SVG-ks teisendamisel. Haavatavus on põhjustatud korraliku escape-märkide kontrollimise puudumisest enne nende asendamist SVG-failis, mis oleks võinud võimaldada sildi lisamist SVG-märgendisse, mis käidi serveris SVG rastervormingusse teisendamisel. Probleem on lahendatud Satori 0.33.5 ja Next.js versioonides 15.5.26, 16.3.6 ning 16.4.0.
• Haavatavused (CVE-2026-33937, CVE-2026-106445) JavaScripti teegis handlebars.js, millel on 50 miljonit allalaadimist nädalas ja 17 tuhat sõltuvat projekti. Haavatavused võimaldavad korraldada kaugsel JavaScripti koodi teostamist serveris (Node.js teegi kasutamisel) asendades malle juba loodud AST-objektidele (Abstract Syntax Tree) lisaks stringi mallidele. Probleemid on lahendatud versioonis 4.7.10.
• Krüptograafia teegis wolfSSL 5.9.4 on kõrvaldatud 11 haavatavust, millest ohtlikumad võimaldavad autentimise ületamist vale sertifikaate kasutades.
• 6 haavat Flatpak'i iseseisvate pakettide süsteemis, sealhulgas probleemid, mis võimaldavad faile kustutada (CVE-2026-97023) ja kirjutada (CVE-2026-97024) peamise süsteemi root õigustega, samuti saata signaale protsessidele väljaspool isoleeritud keskkonda (CVE-2026-97029). Probleemid on lahendatud Flatpak versi 1.18.4 väljalaskes.
• Haavatavus PCRE2 teegis, mis on põhjustatud puhvri ülevoolust regulaarsete väljendite JIT-kompilaatoris. Valmistatud on eksploit, mis võimaldab saavutada kauge täitmist koodis PHP projektides, nagu phpMyAdmin, rünnakute korral, kui töötatakse ülesandega määratud regulaarsete väljendite funktsioonide kaudu, mis põhinevad PCRE2-l. Probleem on lahendatud libpcre2 versioonis 10.49.
• 14 haavatavust krüptograafia teegis OpenSSL, millest kõige ohtlikumad võivad viia protsessi mälu sisu leket, kui manipuleeritakse DTLS ühenduse seadistamisega (CVE-2026-84782), ligipääsuni mällu pärast selle vabastamist, kui sama X.509 sertifikaadi poole pöördub mitu lõime (CVE-2026-84783), ja eraviisiliste võtmete rekonstrueerimisele, analüüsides tegevuste täitmise aega kolmandatest kanalitest SM2 ja brainpoolP384r1 allkirjade genereerimise ajal (CVE-2026-54872, CVE-2026-77696). Probleemid on lahendatud OpenSSL versioonides 4.0.3, 3.6.5, 3.5.9 ja 3.4.8.
• Avalikustatud on eksploit PostgreSQL andmebaasisüsteemi haavatavuse jaoks (CVE-2026-15742), mis võimaldab koodi täitmist serveris kasutaja õigustes, kelle all andmebaas käivitub, saates spetsiaalselt vormindatud väärtusi SQL funktsioonidesse levenshtein() ja levenshtein_less_equal(). Haavatavus on lahendatud PostgreSQL versioonides 18.6, 17.11, 16.15, 15.19 ja 14.24.
• Gitea koostööpöördele 28.0.0 ja 28.1.0 värskendustes on lahendatud mitukümmend haavatavust, sealhulgas pull-päringu saatmine muudatuste kinnitamise mehhanismi mööda (CVE-2026-104632), koodi täitmine CI-s fork-ist (CVE-2026-94205) ning autentimise mööda minemine sisseehitatud SSH-serveris, mis on põhjustatud andmebaasist andmete valimisel suurte tähtede ignoreerimisest (CVE-2026-103059).
• Puhvri ülevool (CVE-2026-102633) teegis libexpat, mis tekib 32-bitistes süsteemides spetsiaalselt vormindatud XML-failide töötlemisel. Probleem on lahendatud versioonis 2.9.0.
• Kaks haavatavust FreeIPMI paketis haldamiseks, serveritega, toetades IPMI (Intelligent Platform Management Interface) liidese. Üks haavatavus põhjustab puhvri ülevoolu spetsiaalselt vormindatud hostinime töötlemisel. Probleemid on lahendatud FreeIPMI versioonis 1.6.20.
• IBM ja Red Hat avastasid ja ette valmistasid üle 400 Java avatud raamatukogude haavatavuse paranduse projekti Lightwell raames.

Allikas: opennet.ru