Ohtlikud haavatavused GStreameris, CUPS-is, wolfSSL-is, OpenSSL-is, OpenClaw-is, Nixis ja Linuxi tuumas

Viimaste päevade jooksul avastati mitu ohtlikku haavatavust, millest enamus on kaugelt ära kasutatavad:

• Multimeedia raamistikus GStreamer 1.28.2 avastati 11 haavatavust, millest 3 on tingitud puhverületamisest ning võivad potentsiaalselt viia koodi täitmiseni spetsiaalselt kujundatud multimeedia konteinerite MKV (CVE ei ole määratud) ja MOV/MP4 (CVE-2026-5056) töötlemisel, samuti H.266/VVC formaadis voogude puhul (CVE ei ole määratud). Ülejäänud 8 haavatavust on põhjustatud täisarvude ületäitumisest või nullviite dereferentsimisest, mis võivad viia teenuse katkestamise või teabe leketeni WAV, JPEG2000, AV1, H.264, MOV, MP4, FLV, mDVDsub ja SRT/WebVTT formaatide töötlemisel. GStreameri haavatavuste oht suureneb, kuna see on GNOME'is metadataside tõlgendamiseks automaatse uute failide indekseerimise käigus kasutatav, st rünnaku jaoks piisab, kui saavutada faili laadimine indekseeritavasse katalooge ~ /Downloads.
• Uues serveris CUPS-i printimises avastati 8 haavatavust, millest kaks (CVE-2026-34980, CVE-2026-34990) võivad võimaldada kaugteostust oma koodiga root'i õigustes, saates spetsiaalselt vormindatud päringu printimiserverisse. Esimene haavatavus võimaldab autentimata ründajal oma koodi täitmist kasutaja lp õigustes saavutada, saates spetsiaalselt vormindatud printimisülesande (probleem tuleneb õigetest sümbolite töötlusest). Teine haavatavus võimaldab tõsta õigusi kasutajalt lp root'ini, saavutades root õigustes failide muutmise vale printeri sisestamise kaudu. CUPS-i värskendus, mis probleemid kõrvaldab, ei ole veel saadaval.
• Avaldatud on wolfSSL krüptograafilise raamatukogu 5.9.1 parandav väljaanne, milles on kõrvaldatud 21 haavatavust. Ühele probleemile on antud kriitiline ohtu tase ja 9-le kõrge (puhverkahjustused). Kriitiline haavatavus (CVE-2026-5194) tuleneb hash'i suuruse ja OID-i identifikaatori kontrollimise puudumisest, mis võimaldab näidata hash'e, mille suurus on väiksem kui lubatud, et alandada digitaalallkirja ECDSA/ECC, DSA, ML-DSA, ED25519 ja ED448 genereerimise algoritmide vastupidavust ning sertifikaadi põhist autentimist ületada. Haavatavus avastati Anthropic'i inseneride poolt AI mudeli koodikontrolli käigus.
• Avaldatud on OpenSSL 3.6.2, 3.5.6, 3.4.5 ja 3.3.7 krüptograafia raamatukogude paranduste väljalasked, milles on kõrvaldatud 7 haavatavust. Kõige ohtlikum haavatavus (CVE-2026-31790) võib põhjustada konfidentsiaalsete andmete lekkimist, mis jäävad puhvrisse pärast eelmist operatsiooni. Probleem on põhjustatud initsialiseerimata mälu kasutamisest RSA KEM RSASVE võtmete kapseldamisel.

  Teine haavatavus (CVE-2026-31789) on põhjustatud puhvri ületäitumisest ja võib potentsiaalselt põhjustada koodi täitmist stringide teisendamisel kuuekümnendsüsteemi esitluseks, töötades spetsiaalselt vormistatud X.509 sertifikaatidega. Probleem on märgitud mitteohtlikuks, kuna see avaldub ainult 32-bitistes platvormides. Ülejäänud haavatavused on põhjustatud andmete lugemisest väljapoole puhvrit, juba vabastatud mälule juurdepääsust ja nullnäidiku dereferentsimisest.

• AI-agentis OpenClaw 2026.3.11, mis võimaldab AI mudelitel suhelda süsteemi keskkondadega (näiteks käivitada utiliite ja töötada failidega), on kõrvaldatud kriitiline haavatavus (CVE-2026-32922) ohutasemega 10 skaalal 10. Haavatavus on põhjustatud sellest, et käsk "/pair approve" ei kontrollinud õigusi nõuetekohaselt, mis võimaldab igal kasutajal, kellel on hostiga paaritumise õigused (madalaim õiguste tase, milleks on piisav juurdepääs OpenClaw’le), omal käel administraatori õigusi kinnitada ja täielikult keskkonda kontrollida. Ründamiseks piisab, kui ühenduda OpenClaw’ga, taotleda vale seadme registreerimist operator.admin juurdepääsuga, seejärel kinnitada oma taotlus käsuga "/pair approve" ja saada täiskontroll rünnatud OpenClaw eksemplari ja sellega seotud teenuste üle.

  Mõni päev enne seda tuvastati OpenClaw’s sarnane haavatavus (CVE-2026-33579), mis võimaldas mööda minna juurdepääsu kontrollist ja omada administraatori õigusi. Probleemi avastanud uurijad esitavad statistikat, mille kohaselt on võrgus leitud 135 tuhat avalikult ligipääsetavat OpenClaw eksemplari, millest 63% võimaldab ühenduda ilma autentimiseta.
• NixOS-i jaoturis kasutatavas pakihalduris Nix on tuvastatud haavatavus (CVE-2026-39860), millele on omistatud kriitilise taseme oht (9 10-st). See haavatavus võimaldab kirjutada üle mis tahes faili süsteemis, sõltuvalt Nixi taustaprosessi juurdepääsuõigustest, mis NixOS-is ja mitme kasutajaga seadetes käitub juurõigustega. Probleem tuleneb 2024. aastal vale haavatavuse CVE-2024-27297 kõrvaldamisest. Kasutamine toimub sümboolse lingiga kausta asendamise kaudu isoleeritud ülesehituskeskkonnas, kuhu kirjutati ülesehituse tulemus. Haavatavus on kõrvaldatud versioonides nix 2.34.5, 2.33.4, 2.32.7, 2.31.4, 2.30.4, 2.29.3 ja 2.28.6.
• Linuxi tuumas on kõrvaldatud 5 haavatavust, mis tuvastati Claude Code'i tööriistadega tehtud katsete käigus ja mis mõjutavad nfsd, io_uring, futex ja ksmbd alamsüsteeme (1, 2). NFS-i draiveri haavatavus võimaldab NFS-serverisse päringute saatmise kaudu tuvastada tuuma mälu alade sisu. Probleem tuleneb veast, mis ilmnes alates 2.6.0 kärgist (2003. aasta).

Allikas: opennet.ru