{"id":170544,"date":"2026-05-09T12:24:31","date_gmt":"2026-05-09T10:24:32","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimost-v-sistemnom-vyzove-execve-predostavlyayushhaya-root-dostup-vo-freebsd"},"modified":"2026-05-09T12:24:31","modified_gmt":"2026-05-09T10:24:32","slug":"uyazvimost-v-sistemnom-vyzove-execve-predostavlyayushhaya-root-dostup-vo-freebsd","status":"publish","type":"post","link":"https:\/\/prohoster.info\/fr\/blog\/news\/uyazvimost-v-sistemnom-vyzove-execve-predostavlyayushhaya-root-dostup-vo-freebsd","title":{"rendered":"Vuln\u00e9rabilit\u00e9 dans l'appel syst\u00e8me execve, permettant un acc\u00e8s root sous FreeBSD","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Une vuln\u00e9rabilit\u00e9 (CVE-2026-7270) a \u00e9t\u00e9 identifi\u00e9e dans FreeBSD, permettant \u00e0 un utilisateur non privil\u00e9gi\u00e9 d'ex\u00e9cuter du code avec les privil\u00e8ges du noyau et d'obtenir un acc\u00e8s root au syst\u00e8me. La vuln\u00e9rabilit\u00e9 concerne toutes les versions de FreeBSD publi\u00e9es depuis 2013. Un exploit a \u00e9t\u00e9 rendu public, dont le fonctionnement a \u00e9t\u00e9 v\u00e9rifi\u00e9 sur des syst\u00e8mes allant de FreeBSD 11.0 \u00e0 14.4. La vuln\u00e9rabilit\u00e9 a \u00e9t\u00e9 corrig\u00e9e dans les mises \u00e0 jour FreeBSD 15.0-RELEASE-p7, 14.4-RELEASE-p3, 14.3-RELEASE-p12 et 13.5-RELEASE-p13. Pour les versions plus anciennes, un patch peut \u00eatre utilis\u00e9. <\/p>\n
Le probl\u00e8me est caus\u00e9 par un d\u00e9bordement de m\u00e9moire tampon dans l'appel syst\u00e8me execve, qui se produit lors du traitement du pr\u00e9fixe sp\u00e9cifi\u00e9 dans la premi\u00e8re ligne de scripts pour d\u00e9terminer le chemin de l'interpr\u00e9teur (par exemple, \u00ab #!\/bin\/sh \u00bb). Le d\u00e9bordement survient lors de l'appel de la fonction memmove \u00e0 cause d'une mauvaise formulation de l'expression math\u00e9matique utilis\u00e9e pour calculer la taille des arguments \u00e0 copier dans la m\u00e9moire tampon. Au lieu de soustraire de \u00ab args->endp \u00bb les valeurs \u00ab args->begin_argv \u00bb et \u00ab consume \u00bb, seule la valeur \u00ab args->begin_argv \u00bb a \u00e9t\u00e9 soustraite de \u00ab args->endp \u00bb, et la variable consume a \u00e9t\u00e9 ajout\u00e9e au r\u00e9sultat plut\u00f4t que soustraite, ce qui signifie qu'en fin de compte, plus de donn\u00e9es ont \u00e9t\u00e9 copi\u00e9es de deux valeurs \u00ab consume \u00bb. memmove(args->begin_argv + extend, args->begin_argv + consume, \u2014 args->endp \u2014 args->begin_argv + consume); + args->endp \u2014 (args->begin_argv + consume)); <\/p>\n
Le d\u00e9bordement permet de r\u00e9\u00e9crire les \u00e9l\u00e9ments de la structure \u00ab exec_map \u00bb situ\u00e9s dans une zone m\u00e9moire adjacente d'un autre processus. Dans l'exploit, le d\u00e9bordement est utilis\u00e9 pour r\u00e9\u00e9crire le contenu de \u00ab exec_map \u00bb des processus privil\u00e9gi\u00e9s lanc\u00e9s p\u00e9riodiquement dans le syst\u00e8me. Comme processus, sshd a \u00e9t\u00e9 choisi, qui \u00e0 chaque connexion r\u00e9seau se d\u00e9tache via l'appel fork et execve du processus \u00ab \/usr\/libexec\/sshd-session \u00bb avec des droits root. <\/p>\n
L'exploit substitue pour ce processus la variable d'environnement \u00ab LD_PRELOAD=\/tmp\/evil.so \u00bb, entra\u00eenant le chargement dans le contexte de sshd-session de sa propre biblioth\u00e8que. La biblioth\u00e8que substitu\u00e9e cr\u00e9e dans le syst\u00e8me de fichiers un fichier ex\u00e9cutable \/tmp\/rootsh avec le drapeau suid root. La probabilit\u00e9 d'un d\u00e9bordement r\u00e9ussi est estim\u00e9e \u00e0 0,6 %, mais gr\u00e2ce \u00e0 la r\u00e9p\u00e9tition cyclique des tentatives, l'exploitation r\u00e9ussie est atteinte en environ 6 secondes sur un syst\u00e8me avec un processeur \u00e0 4 c\u0153urs.
<\/center> <\/p>\n
De plus, plusieurs autres vuln\u00e9rabilit\u00e9s ont \u00e9t\u00e9 corrig\u00e9es dans FreeBSD : <\/p>\n
\n
CVE-2026-35547, CVE-2026-39457 \u2014 d\u00e9passements de tampon dans la biblioth\u00e8que libnv, utilis\u00e9e dans le noyau et dans les applications du syst\u00e8me de base pour traiter des listes au format cl\u00e9\/valeur et organiser le transfert de donn\u00e9es lors de l'interaction entre processus. Le premier probl\u00e8me est caus\u00e9 par un calcul incorrect de la taille du message lors du traitement des en-t\u00eates de messages IPC sp\u00e9cialement form\u00e9s. Le second probl\u00e8me entra\u00eene un d\u00e9bordement de pile lors de l'\u00e9change de donn\u00e9es via un socket en raison de l'absence de v\u00e9rification de la correspondance entre la taille du descripteur de socket et la taille du tampon utilis\u00e9 dans la fonction select(). Les vuln\u00e9rabilit\u00e9s peuvent potentiellement \u00eatre exploit\u00e9es pour \u00e9lever les privil\u00e8ges dans le syst\u00e8me.\n
CVE-2026-42512 \u2014 d\u00e9bordement de tampon exploitable \u00e0 distance dans dhclient, r\u00e9sultant d'un calcul incorrect de la taille d'un tableau de pointeurs, utilis\u00e9 pour transmettre des variables d'environnement au dhclient-script. Il n'est pas exclu qu'un exploit soit cr\u00e9\u00e9 pour l'ex\u00e9cution \u00e0 distance de code via l'envoi d'un paquet DHCP sp\u00e9cialement form\u00e9.\n
CVE-2026-7164 \u2014 d\u00e9bordement de pile dans le filtre de paquets pf, se produisant lors du traitement de paquets SCTP sp\u00e9cialement form\u00e9s. Le probl\u00e8me est caus\u00e9 par l'analyse r\u00e9cursive illimit\u00e9e des param\u00e8tres SCTP.\n
CVE-2026-42511 \u2014 possibilit\u00e9 d'injection de directives arbitraires dans dhclient.conf en raison d'un manque d'\u00e9chappement appropri\u00e9 des doubles accolades dans les champs BOOTP, obtenus d'un serveur DHCP externe. Lors de l'analyse de ce fichier par le processus dhclient, le champ sp\u00e9cifi\u00e9 par l'attaquant est transmis au dhclient-script, ce qui peut \u00eatre utilis\u00e9 pour ex\u00e9cuter des commandes arbitraires avec des droits root sur les syst\u00e8mes utilisant dhclient, lors de l'acc\u00e8s \u00e0 un serveur DHCP contr\u00f4l\u00e9 par l'attaquant.\n
CVE-2026-6386 \u2014 absence de traitement ad\u00e9quat des grandes pages m\u00e9moire dans la fonction noyau pmap_pkru_update_range(). Un utilisateur non privil\u00e9gi\u00e9 peut amener pmap_pkru_update_range() \u00e0 traiter la m\u00e9moire de l'espace utilisateur comme une page dans la table de pages m\u00e9moire, permettant d'\u00e9crire dans une zone m\u00e9moire \u00e0 laquelle il n'a pas acc\u00e8s.\n
CVE-2026-5398 \u2014 acc\u00e8s \u00e0 une zone m\u00e9moire d\u00e9j\u00e0 lib\u00e9r\u00e9e dans le gestionnaire TIOCNOTTY, permettant \u00e0 un processus non privil\u00e9gi\u00e9 d'obtenir des droits root. <\/ul>\n
![\"Vuln\u00e9rabilit\u00e9](\"\/wp-content\/uploads\/2026\/05\/6d8779e37e52d9af205b881f8e8a065c.png\")
<\/center> <\/p>\n