Kaugjuhtimisega haavatavused FreeBSD tuumas, Vim-is ja Emacs-is

FreeBSD-s on kõrvaldatud haavatavus (CVE-2026-4747), mis võimaldab NFS-serverile saadetud võrgu pakettide kaudu saavutada sisemist koodi täitmist. Probleem ilmneb kgssapi.ko mooduli kasutamisel, mis rakendab RPCSEC_GSS API-d kernelitasandil. Peale kernelitasandi puudutab haavatavus ka kasutajatasandi rakendusi, mis kasutavad librpcgss_sec teeki ja täidavad RPC-serveri funktsioone. Sarnased rakendused, mis ei kuulu FreeBSD põhikoosseisu, võivad samuti olla rünnaku sihtmärgiks, saatma võrgu pakette.

Probleem esineb GSS (Generic Security Services) API rakenduses, mis võimaldab luua kaitstud autentimiskanaleid. serveriga. RPCSEC_GSS-d kasutatakse NFS-serverites, et kaitsta päikese RPC juurdepääsu Kerberose-põhise autentimise ja serveri ning kliendi vahelise liikluse krüpteerimise abil. Probleem tuleneb sellest, et allkirja kontrollimise käigus kopeeritakse andmed paketist fikseeritud puhvrisse sobimatute suuruste kontrollita. Viga ilmneb autentimise eelsetes etappides, kuid nõuab võimalust saata võrgu pakette NFS-serverile. On saadaval eksploit, mis võimaldab kaugelt käivitada /bin/sh juurõigustega.

Haavatavuse tuvastas Anthropic'i töötaja, kasutades AI-assistenti Claude. Taktitunne, et välised teadlased Calif meeskonnast kasutasid Claude'i töötava eksploidiga loomiseks, edastades vaid FreeBSD projekti avaldatud üldise haavatavuse raporti. Peale haavatavuse otsest kasutamist disainis AI mudel haavatava konfiguratsiooniga virtuaalmasina, seadis kaugproovimise ja kernel crash-dumpide lugemise ning korraldas eksploidis /bin/sh käivitamise pärast koodi täitmise saavutamist kernelitasandil. Eksploidi loomine võttis Claude mudelilt aega 4 tundi.

Eksploidit loonud teadlased ei piirdunud sellega, vaid jätkasid katsetusi, kasutades Claude'i haavatavuste leidmiseks Vim ja Emacsis, mis võimaldavad avada spetsiaalselt vormindatud faile, et saavutada koodi täitmine redigeerijates. Taktitunne, et mudeli ülesanded olid primitiivsed, nagu „leia 0-day haavatavus Vim-is, mis tekib faili avamisel”. Lõppkokkuvõttes leidis mudel Claude edukalt varasemate teadmistega haavatavusi.

Vim-i haavatavus (CVE-2026-34714) tuleneb vea tegemisest tabpaneli valiku töötlemisel, kui see on vaikimisi lubatud modeline režiimis (':set modeline'), mis võimaldab määrata redigeerimisvalikuid töödeldavas failis. Vim arendajate kavatsuse kohaselt lubatakse modeline kaudu määrata ainult piiratud arv valikuid, mille väljendid viiakse läbi sandboxes, mis lubavad vaid kõige lihtsamaid ohutuid toiminguid.

tabpaneli valiku puhul ei olnud määratud P_MLE lipp, mis võimaldas käitada väljendit %{expr}, ilma et oleks aktiveeritud modelineexpr režiim. Sandbox- isolatsiooni mööda minekuks kasutati puudulikku kontrolli funktsioonis autocmd_add(), kus puudusid piisavad turvakaalid tegevuse sidumisel SafeStateAgain sündmusele, mis võimaldas korraldada käsu käivitamise pärast sandbox- isolatsioonist väljumist. Haavatavus on kõrvaldatud Vim v9.2.0272 väljaandes. Näide reast, mis käivitab „id” utiliidi ja suunab väljundi failisse „/tmp/calif-vim-rce-poc”: /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{‘event\:’SafeStateAgain’,’pattern\:’*’,’cmd\:’!id>/tmp/calif-vim-rce-poc’,’once\:1}])%}: */

Emacsi haavatavus tuleneb automaatsest .git/ katalooge sisu töötlemisest, kui see asub avatud failiga samas kaustas. Sellisel juhul käivitab Emacs failide avamisel käsklused „git ls-files” ja „git status”, mis täidetakse konteksti sisu „.git/”. Koodi täitmise korraldamiseks on piisav avada Emacsis fail, mis asub kaustas, kus on .git/ alamkaust, mille konfiguratsioonifail „config” sisaldab rünnata lubatud käsku. GNU Emacs, kes vastutab kiirete haavatavuste kõrvaldamise eest, keeldus probleemide lahendamisest, viidates sellele, et probleem on Git-is.

Lisaks on veel kaks haavatavust:

• CVE-2026-33150 — mälukutsed pärast vabastamist io_uring töötlejal libfuse raamatukogus, võimaldades potentsiaalselt koodi käivitamist ressursside ammendumise tõttu, töötades failisüsteemidega, mis on loodud FUSE (Filesystem in Userspace) kaudu.
• CVE-2026-34743 — puhverdamise viga funktsiooni lzma_index_append() teostuses liblzma raamatukogus. Probleem avaldub lzma_index_decoder() funktsiooni kasutamisel indeksite dekodeerimiseks, mis ei sisalda sissekandeid, ning viib asjakohast väiksema mälupuhvri reserveerimiseni. On märgitud, et madala taseme API lzma_index* kasutatakse rakendustes äärmiselt harva ning on ebatõenäoline, et leidub rakendusi, kus esinevad ekspluateerimise tingimused indeksiga töötamiseks. Haavatavus on kõrvaldatud XZ Utils 5.8.3 värskenduses.

Allikas: opennet.ru