Plusieurs vulnérabilités récemment découvertes permettent d'obtenir un accès root au système ou d'exécuter du code à distance.
- 7 vulnérabilités dans le système de gestion de conteneurs LXD et 11 vulnérabilités dans le fork Incus. Plusieurs vulnérabilités marquées comme critiques permettent à des utilisateurs non privilégiés locaux de modifier n'importe quel fichier dans le système ou d'exécuter leur code avec des droits root. Les vulnérabilités ont été corrigées dans les versions LXD 6.9, 5.21.8, 5.0.10 et 4.0.14, ainsi que dans Incus 7.5.1. Les problèmes sont causés par un traitement incorrect des chemins de fichiers, des problèmes avec les liens symboliques et un manque de validation des entrées dans le code pour la migration et la sauvegarde d'environments isolés ou le téléchargement d'images système :
- CVE-2026-85526 — écriture d'un fichier arbitraire dans le système lors du traitement d'une sauvegarde contenant dans subvolumes[].path un chemin vers un point de montage de type «..\/..\/..\/..\/etc\/cron.d».
- CVE-2026-85185 — écriture et suppression de fichiers arbitraires en indiquant dans les noms de sous-volumes btrfs des chemins avec «..\/».
- CVE-2026-87799 — écriture dans un fichier arbitraire dans le système par substitution de liens symboliques lors de la migration. machines virtuelles.
- CVE-2026-87798 — dépassement de la racine du répertoire de la machine virtuelle lors du transfert de fichiers récursivement.
- CVE-2026-86334 — dépassement de la racine du répertoire lors de l'exportation d'une image depuis l'extérieur. de serveurs.
- CVE-2026-86335 — accès aux images privées des machines virtuelles d'autres utilisateurs.
- CVE-2026-97335 — contournement des restrictions d'accès aux projets.
- Vulnérabilités dans le système de paquets autonomes Flatpak. Les problèmes ont été corrigés dans la version Flatpak 1.18.1. Parmi les vulnérabilités les plus critiques :
- CVE-2026-90616 — utilisation de liens symboliques pour contourner l'isolation sandbox et obtenir un accès complet au système de fichiers hôte ;
- Élévation des privilèges jusqu'à l'utilisateur root par substitution d'un lien symbolique (CVE non attribué) ;
- CVE-2026-9627 — écriture de fichiers avec des droits root par manipulation des chemins de fichiers ;
- CVE-2026-96275 — écriture de fichiers avec des droits root par manipulation de liens symboliques ;
- CVE-2026-96276 — écriture de fichiers avec des droits root par substitution de «..\/» dans les chemins de fichiers lors de l'exécution de la commande «flatpak build-init» ;
- CVE-2026-96279 — lecture de fichiers arbitraires dans le système principal par la création d'un lien symbolique lors de l'extraction d'une archive OCI.
- CVE-2026-92162 — accès aux fichiers en dehors du répertoire de base via l'insertion de « ..\/ » dans les paramètres DeployAppstream.
- CVE-2026-96280 — débordement de tampon dans le gestionnaire de mises à jour delta OCI sur les systèmes 32 bits.
- Deux vulnérabilités critiques dans la plateforme de développement collaboratif GitLab, permettant à un utilisateur distant authentifié d'exécuter son code sur le serveur via l'insertion d'une expression régulière spécialement formatée dans les paramètres CI\/CD. Les vulnérabilités sont présentes dans le parseur d'expressions régulières et sont causées par un double libération de mémoire (CVE-2026-89078) et un débordement entier (CVE-2026-93577). Les problèmes ont été corrigés dans les versions 19.4.1, 19.3.3, 19.2.7.
- Deux vulnérabilités critiques dans le protocole réseau utilisé sur les nœuds de la plateforme décentralisée de développement collaboratif Radicle. La première vulnérabilité permet de visualiser les données échangées entre les nœuds via la surveillance du trafic. La seconde vulnérabilité permet de falsifier l'identifiant du nœud et d'accéder à des dépôts privés. En combinaison, ces vulnérabilités permettent d'extraire le contenu de tout dépôt depuis des nœuds Radicle.
- Vulnérabilité dans le noyau Linux, causée par un accès à une mémoire déjà libérée (use-after-free) en raison d'une condition de course dans le module espintcp, utilisé pour encapsuler le protocole ESP (Encapsulating Security Payload) dans TCP (ESP-in-TCP, RFC 8229). Le problème a été corrigé dans le noyau en février, avant la sortie de la version 7.0. Il y a quelques jours, un exploit opérationnel a été créé pour permettre l'exécution de code avec des privilèges root sur le système. L'exploitation a été démontrée sur CentOS Stream 9 et Ubuntu 26.04 LTS.
- Vulnérabilité critique (CVE-2026-87902) dans le système de gestion de contenu WordPress, permettant à un visiteur non authentifié du site d'exécuter du code PHP sur le serveur, via une manipulation des modèles de page, en présence d'un fichier pearcmd.php sur le serveur (disponible dans l'image docker officielle et dans la configuration par défaut de cPanel). Le problème se manifeste également dans le fork ClassicPress. Cette vulnérabilité est activement exploitée par des attaquants pour prendre le contrôle des sites. Un correctif a été publié pour 25 branches de WordPress, de la version 7.1.2 à 4.7.37.
- 7 vulnérabilités dans OpenVPN, dont des problèmes causés par un double释放 de mémoire (CVE-2026-84471), un échappement incorrect des caractères spéciaux lors du lancement de l'interpréteur de commandes (CVE-2026-84256) et un dépassement de tampon sur un octet lors de l'analyse des options DHCP (CVE-2026-81738). Les problèmes ont été résolus dans la version OpenVPN 2.6.23.
- 8 vulnérabilités dans le package NTFS-3G, permettant potentiellement l'exécution de code avec des privilèges root lors du traitement de partitions ou d'images disque spécialement conçues avec le système de fichiers NTFS. Toutes les vulnérabilités sont causées par un dépassement de tampon. Les problèmes ont été résolus dans la version NTFS-3G 2026.9.18.
- Une vulnérabilité dans FreeRDP, permettant d'établir une connexion RDP avec serveur sans authentification. Le problème a été résolu dans la version FreeRDP 3.31.0.
- Une vulnérabilité (CVE-2026-87766) dans l'outil pour organiser le travail des environnements isolés Bubblewrap, permettant d'écrire des fichiers en dehors de l'environnement sandbox lors de la configuration du conteneur par des manipulations avec des liens symboliques.
- Un exploit a été publié pour une vulnérabilité dans le serveur d'impression CUPS, permettant à un utilisateur local d'obtenir des droits root sur le système en écrasant le fichier /etc/cups/cups-files.conf (en spécifiant ce fichier comme URI de l'imprimante) et en remplaçant l'appel à cups-exec. La mise à jour de CUPS n'a pas encore été publiée.
- Un accès à une mémoire déjà libérée (CVE-2026-42007) dans le serveur IMAP Dovecot, permettant à un utilisateur authentifié d'exécuter son code sur le serveur en utilisant un script Sieve spécialement conçu. La vulnérabilité a été corrigée dans la version Dovecot 2.4.5.
Source : opennet.ru
