Haavad LXD, Incus, Flatpak, GitLab, Radicle, Linuxi tuumas, WordPressis, OpenVPNis, NTFS-3G-s, FreeRDP-s, CUPS-is ja Dovecotis

Mitmest hiljuti avastatud tõsisest haavatavusest, mis võimaldavad saada root-juurdepääsu süsteemis või saavutada kaugkäitamise koodi.

• 7 haavatust kontainerihaldussüsteemis LXD ja 11 haavatust Incus'e fork'is. Mõned haavatustest, mis on märgitud kriitilisteks, võimaldavad lokaalsetel mitteprivilegeeritud kasutajatel muuta mis tahes faile süsteemis või käivitada oma koodi root õigustega. Haavatused on kõrvaldatud versioonides LXD 6.9, 5.21.8, 5.0.10 ja 4.0.14 ning Incus 7.5.1. Probleemid on põhjustatud valedest failide teede käsitlemistest, sümboolsete linkide töötlemise probleemidest ja sisendi kontrollimise puudumisest koodis isoleeritud keskkondade migreerimise ja varundamise või süsteemipiltide laadimise osas:
  • CVE-2026-85526 — juhuslike failide ülekirjutamine süsteemis varukoopia töötlemisel, mis sisaldab subvolumes[].path teed montaažipunkti nagu „..\/..\/..\/..\/etc\/cron.d”.
  • CVE-2026-85185 — juhuslike failide kirjutamine ja kustutamine, määrates btrfs alajaotuste nimedes teed „..\/”.
  • CVE-2026-87799 — juhusliku faili kirjutamine süsteemis sümboolsete linkide asendamise kaudu migreerimisel. virtuaalmasinate.
  • CVE-2026-87798 — ületamine virtuaalmasina baaskatalooge failide rekursiivse edastamise käigus.
  • CVE-2026-86334 — ületamine baaskataloogist pildi eksportimisel välisest allikast. serverid.
  • CVE-2026-86335 — ligipääs teiste kasutajate virtuaalmasinate privaatsetele piltidele.
  • CVE-2026-97335 — juurdepääsupiirangute möödumine projektide osas.
• Flatpak'i iseseisvate pakettide süsteemi haavatused. Probleemid on kõrvaldatud Flatpak 1.18.1 versioonis. Kõige ohtlikumate haavatuste hulka kuuluvad:
  • CVE-2026-90616 — sümboolsete linkide kasutamine sandox-isolatsiooni möödumiseks ja täieliku juurdepääsu saamine hosti failisüsteemile;
  • Privileegide tõstmine root kasutajaks sümboolse lingi asendamise kaudu (CVE ei ole määratud);
  • CVE-2026-9627 — failide kirjutamine root õigustega failiteede manipuleerimise kaudu;
  • CVE-2026-96275 — failide kirjutamine root õigustega sümboolsete linkide manipuleerimise kaudu;
  • CVE-2026-96276 — failide kirjutamine root õigustega failiteede asendamise kaudu „..\/” käskluse „flatpak build-init” täitmisel;
  • CVE-2026-96279 — juhuslike failide lugemine põhikontoris kõvasid linke seadistades OCI arhiivi taastamisel.
  • CVE-2026-92162 — juurdepääs failidele väljaspool baaskatalooge sümboolsete linkide asendamise kaudu „..\/” DeployAppstream'i parameetrites.
  • CVE-2026-96280 — bufrite ülevool OCI deltauuenduste töötlejas 32-bitistes süsteemides.
• Kaks kriitilist haavatavust GitLab'i koostööarenduse platvormil, mis võimaldavad eemalt autentitud kasutajal käitada oma kood. serveris kui ta sisestab spetsiaalselt vormindatud regulaaravalduse CI/CD seadistustesse. Haavatavused on olemas regulaaravalduse parseris ja need on põhjustatud topeltmälu vabastamisest (CVE-2026-89078) ja täisarvu ületamisest (CVE-2026-93577). Probleemid on lahendatud versioonides 19.4.1, 19.3.3, 19.2.7.
• Kaks kriitilist haavatavust võrguprotokollis, mida kasutatakse Radicle'i koostööarenduse platvormi sõlmedes. Esimene haavatavus võimaldab vaadata andmeid, mida sõlmed vahetavad, jälgides liiklust. Teine haavatavus annab võimaluse vale sõlme identifikaatori väljamõtlemiseks ja juurdepääsuks privaatsetele hoidlatele. Koos haavatavustega on võimalik tõmmata sisu mis tahes Radicle'i hoidlatest.
• Haavatavus Linuxi tuumas, mis on põhjustatud juurdepääsust juba vabastatud mälule (use-after-free) race condition'i tõttu espintcp moodulis, mida kasutatakse ESP (Encapsulating Security Payload) protokolli TCP-s (ESP-in-TCP, RFC 8229) kapseldamiseks. Probleem lahendati tuumas veebruaris enne versiooni 7.0 väljalaskmist. Mõned päevad tagasi loodi haavatavuse jaoks töötav eksploit, mis võimaldab käitada koodi root õigusel süsteemis. Eksplooti on demonstreeritud CentOS Stream 9 ja Ubuntu 26.04 LTS kõikudes.
• Kriitiline haavatavus (CVE-2026-87902) WordPressi sisuhaldussüsteemis, mis võimaldab autentimata veebisaidi külastajal käitada PHP-koodi serveris, manipuleerides lehe mallidega, kui serveris on fail pearcmd.php (saadaval ametlikus docker'i pildis ja cPaneli vaikeseadistustes). Probleem ilmneb ka ClassicPressi fork'is. Haavatavust kasutatakse aktiivselt halbade näppude poolt, et haarata kontroll veebisaitide üle. Parandus on väljastatud 25 WordPressi haru jaoks, alates 7.1.2 kuni 4.7.37.
• 7 haavatavust OpenVPN-is, sealhulgas probleemid, mis on põhjustatud topeltmälu vabastamisest (CVE-2026-84471), spetsiaalsete märkide vale escape'imine käsurea tõlgendamisel (CVE-2026-84256) ja ühe baitine puhverülekanne DHCP valikute parsimisel (CVE-2026-81738). Probleemid on lahendatud OpenVPN versioonis 2.6.23.
• 8 haavat NTFS-3G paketis, mis võivad potentsiaalselt võimaldada root-režiimis koodi täitmist, kui töödeldakse spetsiaalselt vormindatud partitsioone või NTFS-failisüsteemiga kettapilte. Kõik haavatavused on põhjustatud puhverülesolekust. Probleemid on kõrvaldatud NTFS-3G versioonis 2026.9.18.
• Haavatavus FreeRDP-s, mis võimaldab RDP-ühenduse loomist serverilt ilma autentimiseta. Probleem on lahendatud FreeRDP versioonis 3.31.0.
• Haavatavus (CVE-2026-87766) Bubblewrapi isolatsioonikeskkondade tööriistades, mis võimaldab kirjutada faile väljaspool sandboxi keskkonda konteineri seadistamise ajal sümboolsete linkidega manipuleerimise kaudu.
• Avalikustatud exploit CUPS-i printimisseadmestiku haavatavuse suhtes, mis võimaldab kohalikul kasutajal saada root õigused süsteemis, kirjutades üle faili /etc/cups/cups-files.conf (märgib selle faili printeri URI-na) ja asendades kutsumise cups-exec. CUPS-i uuendust pole veel välja antud.
• Juurdepääs juba vabastatud mälule (CVE-2026-42007) Dovecot IMAP-serveris, mis võimaldab autentitud kasutajal oma koodi serveris täita, kasutades spetsiaalselt vormindatud Sieve-skripti. Haavatavus on lahendatud Dovecot versioonis 2.4.5.

Allikas: opennet.ru