Kaugtöödeldavad haavatavused FreeBSD tuumas, Vim'is ja Emacs'is

FreeBSD-s on avastatud haavatavus (CVE-2026-4747), mis võimaldab NFS-serverile võrgupakettide saatmise kaudu saavutada tuumakoodi täitmist. Probleem ilmneb kgssapi.ko mooduli kasutamisel, mis rakendab RPCSEC_GSS API-d tuumaküljel. Lisaks tuumale hõlmab haavatavus ka kasutajatasandi rakendusi, mis kasutavad librpcgss_sec teeki ja täidavad RPC-serveri funktsioone. Sarnased rakendused, mis ei kuulu FreeBSD põhissüsteemi, võivad samuti rünnaku all olla võrgupakettide saatmise kaudu.

Probleem on seotud GSS (Generic Security Services) API rakendamisega, mis võimaldab luua kaitstud autentitud suhtluskanaleid. serverilt. RPCSEC_GSS-i kasutatakse NFS-serverites Sun RPC juurdepääsu kaitsmiseks Kerberose-põhise autentimise ja krüpteeritud liikluse kaudu serveri ja kliendi vahel. Probleem tuleneb sellest, et allkirja kontrollimisel kopeeritakse paketi andmed fikseeritud puhvri sisse, ilma et oleks korralikult kontrollitud suuruse vastavust. Viga ilmneb autentimise läbimise eel, kuid nõuab NFS-serverile võrgu paketide saatmise võimalust. Saadaval on eksploit, mis võimaldab kaugtasandil käivitada /bin/sh juurõigustes.

Haavatavuse avastas Anthropic'i töötaja AI-assistendi Claude abil. Märkimisväärne on see, et Calif'i meeskonna välised teadlased kasutasid Claude'i töötava eksploiidi kirjutamiseks, edastades teabeainena vaid FreeBSD poolt avaldatud haavatavuse üldaruande. Lisaks haavatavuse kasutamisele seadistus AI mudel haavatava konfiguratsiooniga virtuaalmasina, organiseeris kaugel töös taaskäivituse ja tuuma crash-dumpide lugemise, samuti vormistas eksploidis /bin/sh käivitamise pärast koodide täitmise saavutamist tuumatasemel. Eksploidile kulus 4 tundi Claude mudeli tööaega.

Eksploitatsiooni loonud teadlased ei piirdunud sellega ning jätkasid katsetusi, kasutades Claude’i haavatavuste tuvastamiseks Vim ja Emacs, mis võimaldavad koodi täitmist avatud spetsiaalselt vormindatud failide kaudu. Kutse mudelile piirdus primitiivse ülesande seadistamisega, näiteks "leidke 0-päeva haavatavus Vim’is, mis ilmneb faili avamisel". Lõppkokkuvõttes suutis mudel Claude avastada varasemalt tundmatud haavatavused.

Vim’i haavatavus (CVE-2026-34714) tuleneb veast tabpanel’i valiku töötlemisel vaike režiimis modeline ("set modeline"), mis võimaldab määrata redigeerimisvalikuid töödeldavas failis. Vim’i arendajate kavatsuse kohaselt võimaldab modeline seadistada ainult piiratud arvu valikuid, mille avaldused täidetakse liivakastirežiimis, mis lubab kasutada ainult kõige lihtsamaid ohutuid toiminguid.

Tabpanel’i valikul ei olnud seatud P_MLE lippu, mis võimaldas kasutada väljendit %{expr}, täidetuna ilma modelineexpr režiimi aktiveerimiseta. Sandboksi isoleerimise vältimiseks kasutati viga funktsioonis autocmd_add(), milles puudusid nõuetekohased turvakontrollid toimingu sidumisel SafeStateAgain sündmusega, mis võimaldas käivitada käsku pärast liivakasti isoleerimise lõpetamist. Haavatavus on kõrvaldatud Vim v9.2.0272 versioonis. Näide reast, mis käivitab tööriista "id" ja suunab väljundi faili "\/tmp\/calif-vim-rce-poc": \/ * vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{‘event’\:’SafeStateAgain’,’pattern’\:’*’,’cmd’\:’!id>\/tmp\/calif-vim-rce-poc’,’once’\:1}])%}: *\/

Emacs’i haavatavus tuleneb automaatse töötlemise abil kausta .git/ sisu, kui see asub samas kaustas avatud failiga. Sellisel juhul käivitab Emacs avades faili käsud „git ls-files” ja „git status”, mis täidetakse „.git/” sisu kontekstis. Koodi täitmiseks piisab, kui avada Emacs’is fail kaustas, kus on alakaust .git/ koos konfiguratsioonifailiga „config”, mis sisaldab „core.fsmonitor” variant, mille all on ründaja määratud käsk käivitamiseks. GNU Emacsi arendajad keeldusid haavatavuse kõrvaldamisest, viidates sellele, et probleem on Git’is.

Lisaks võib märkida veel kahte haavatavust:

• CVE-2026-33150 — mäluhaldus pärast vabanemist io_uring töötlejas libfuse raamatukogust, mis võimaldab potentsiaalselt koodi täitmist, kui saadaval olevad ressursid on ammendunud FUSE (Filesystem in Userspace) failisüsteemide töötlemisel.
• CVE-2026-34743 — puhverülevool funktsiooni lzma_index_append() rakenduses liblzma raamatukogus. Probleem ilmneb lzma_index_decoder() funktsiooni kasutamisel indeksite dekodeerimiseks, mis ei sisalda kirjeid, ja viib puhveri eraldamiseni, mis on väiksem kui vajalik. Märgitakse, et madala taseme API lzma_index* kasutatakse rakendustes äärmiselt harva ning on ebatõenäoline, et leidub rakendusi, kus suudetakse ära kasutada indeksi kasutamise tingimusi. Suuruse puudujääk on kõrvaldatud XZ Utils 5.8.3 värskenduses.

Allikas: opennet.ru