Vulnérabilités exploitées à distance dans le noyau FreeBSD, Vim et Emacs

Une vulnérabilité a été corrigée dans FreeBSD (CVE-2026-4747), permettant l'exécution de code au niveau du noyau par l'envoi de paquets réseau au serveur NFS. Le problème se manifeste lors de l'utilisation du module kgssapi.ko, implémentant l'API RPCSEC_GSS côté noyau. En plus du noyau, la vulnérabilité affecte les applications en espace utilisateur utilisant la bibliothèque librpcgss_sec et fonctionnant comme un serveur RPC. De telles applications, qui ne font pas partie du système de base de FreeBSD, peuvent également être attaquées par l'envoi de paquets réseau.

Le problème réside dans l'implémentation de l'API GSS (Generic Security Services), qui permet d'établir des canaux de communication sécurisés et authentifiés avec serveur. RPCSEC_GSS est utilisé dans les serveurs NFS pour protéger l'accès à Sun RPC en utilisant une authentification basée sur Kerberos et un chiffrement du trafic entre le serveur et le client. Le problème est causé par le fait que lors de la vérification de la signature, les données du paquet sont copiées dans un tampon fixe sans vérification adéquate de la taille correspondante. L'erreur se manifeste avant l'authentification, mais nécessite la possibilité d'envoyer des paquets réseau au serveur NFS. Un exploit est disponible, permettant de lancer à distance /bin/sh avec les droits root.

La vulnérabilité a été découverte par un employé de l'entreprise Anthropic à l'aide de l'assistant AI Claude. Notamment, des chercheurs externes de l'équipe Calif ont utilisé Claude pour rédiger un exploit fonctionnel, ne fournissant comme information que le rapport général de vulnérabilité publié par FreeBSD. En plus de l'exploitation directe de la vulnérabilité, le modèle AI a déployé une machine virtuelle avec une configuration vulnérable, configuré le débogage à distance et la lecture des dumps de mémoire du noyau, et a également organisé dans l'exploit le lancement de /bin/sh, après avoir réussi à exécuter du code au niveau du noyau. La création de l'exploit a pris 4 heures de temps de travail du modèle Claude.

Les chercheurs ayant créé l'exploit ne se sont pas arrêtés là et ont poursuivi leurs expérimentations en utilisant Claude pour identifier des vulnérabilités dans Vim et Emacs, permettant l'exécution de leur code lors de l'ouverture de fichiers spécialement formatés dans les éditeurs. Fait intéressant, les prompts adressés au modèle consistaient en une formulation primitive de la tâche, telle que « trouvez une vulnérabilité 0-day dans Vim qui se produit lors de l'ouverture d'un fichier ». Au final, le modèle Claude a réussi à découvrir des vulnérabilités jusqu'alors inconnues.

La vulnérabilité dans Vim (CVE-2026-34714) est causée par une erreur dans le traitement de l'option tabpanel dans le mode modeline activé par défaut (« :set modeline »), qui permet de définir des options d'édition dans le fichier traité. Selon les concepteurs de Vim, via modeline, seul un nombre limité d'options peut être défini, les expressions étant exécutées en mode sandbox, n'autorisant que les opérations sûres les plus simples.

Le drapeau P_MLE n'était pas défini pour l'option tabpanel, ce qui permettait d'utiliser l'expression %{expr}, exécutée sans activer le mode modelineexpr. Pour contourner l'isolement de la sandbox, une lacune dans la fonction autocmd_add() a été exploitée, car elle manquait de vérifications de sécurité appropriées lors de l'association d'une action à l'événement SafeStateAgain, permettant de lancer une commande après la sortie de l'isolement. La vulnérabilité a été corrigée dans la version Vim v9.2.0272. Un exemple de ligne qui entraîne l'exécution de l'utilitaire « id » et redirige la sortie vers le fichier « /tmp/calif-vim-rce-poc » : /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{‘event’\:’SafeStateAgain’,’pattern’\:’*’,’cmd’\:’!id>/tmp/calif-vim-rce-poc’,’once’\:1}])%}: */

La vulnérabilité dans Emacs est causée par le traitement automatique du contenu du répertoire .git/, lorsqu'il est situé dans le même répertoire que le fichier ouvert. Dans ce cas, Emacs exécute lors de l'ouverture d'un fichier les commandes « git ls-files » et « git status », exécutées dans le contexte du contenu de « .git/ ». Pour exécuter le code, il suffit d'ouvrir dans Emacs un fichier situé dans un répertoire contenant un sous-répertoire .git/ avec le fichier de configuration « config », incluant l'option « core.fsmonitor » avec la commande spécifiée par l'attaquant à exécuter. Les responsables de GNU Emacs ont refusé de corriger la vulnérabilité, indiquant que le problème relevait de Git.

On peut également noter deux autres vulnérabilités :

• CVE-2026-33150 — accès à la mémoire après sa libération dans le gestionnaire io_uring de la bibliothèque libfuse, permettant potentiellement d'exécuter du code lors de l'épuisement des ressources disponibles lors de l'utilisation de systèmes de fichiers implémentés via FUSE (Filesystem in Userspace).
• CVE-2026-34743 — débordement de tampon dans l'implémentation de la fonction lzma_index_append() de la bibliothèque liblzma. Le problème survient lors de l'utilisation de la fonction lzma_index_decoder() pour décoder un index ne contenant pas d'enregistrements, ce qui conduit à l'allocation d'un tampon de taille inférieure à celle requise. Il est à noter que l'API de bas niveau lzma_index* est rarement utilisée dans les applications et il est peu probable qu'il existe des applications remplissant les conditions nécessaires à l'exploitation avec l'index. La vulnérabilité a été corrigée dans la mise à jour XZ Utils 5.8.3.

Source : opennet.ru