A FreeBSD-ben javították a (CVE-2026-4747) sebezhetőséget, amely lehetővé teszi, hogy hálózati csomagok küldésével az NFS-szerverre kódvégrehajtást érjünk el a kernel szintjén. A probléma a kgssapi.ko modul használatakor jelentkezik, amely az API RPCSEC_GSS-t valósítja meg kernel oldalon. A sebezhetőség a kernel mellett a felhasználói térben működő alkalmazásokat is érinti, amelyek a librpcgss_sec könyvtárat használják és RPC-szerverként működnek. Az ilyen, a FreeBSD alaprendszerébe nem tartozó alkalmazások is támadhatók hálózati csomagok küldésével.
A probléma a GSS (Generic Security Services) API megvalósításában rejlik, amely lehetővé teszi a védett hitelesített kommunikációs csatornák létrehozását a szerverrel. Az RPCSEC_GSS-t NFS-szerverek alkalmazzák a Sun RPC-hez való hozzáférés védelmére Kerberos alapú hitelesítéssel, valamint a forgalom titkosításával a szerver és az ügyfél között. A probléma annak köszönhető, hogy az aláírás ellenőrzésekor az adatokat a csomagból egy fix méretű pufferbe másolják, anélkül hogy megfelelően ellenőriznék, hogy az méretileg megfelelő-e. A hiba az autentikáción előtt jelentkezik, de hálózati csomagok NFS szerverre küldését igényli. Kész elérhető exploit, amely lehetővé teszi a /bin/sh távoli futtatását root jogokkal.
A sebezhetőséget az Anthropic cég munkatársa fedezte fel a Claude AI-asszisztens segítségével. Érdekes, hogy a Calif csapatból származó külső kutatók Claude-ot használták egy működő exploit elkészítéséhez, és csak a FreeBSD projekt által közzétett sebezhetőségi jelentést adták meg információként. Az exploit közvetlen kihasználása mellett az AI modell virtualizált egy sebezhető konfigurációval rendelkező virtuális gépet, beállította a távoli debuggolást és a kernel crash-dumpok olvasását, valamint megszervezte az exploit indítását a /bin/sh-ra, miután sikerült kódvégrehajtást elérni a kernel szintjén. Az exploit elkészítése 4 órát vett igénybe a Claude modell munkájából.
A felfedezők, akik az exploitot létrehozták, nem elégedtek meg ennyivel, és folytatták a kísérletezést, a Claude-t használva sebezhetőségek azonosítására a Vim és Emacs rendszerekben, amelyek lehetővé tették saját kódjuk végrehajtását speciálisan formázott fájlok megnyitásakor. Érdekes módon a modellhez írt promptok primitív feladatmegfogalmazásra korlátozódtak, mint például: "keress 0-day sebezhetőséget a Vimen, ami akkor jelentkezik, amikor egy fájlt nyitsz meg". Végül a Claude modell sikeresen talált korábban ismeretlen sebezhetőségeket.
A Vimben található sebezhetőség (CVE-2026-34714) a tabpanel opció feldolgozásában fellépő hibából ered, amikor az alapértelmezett modeline módban van aktiválva (":set modeline"), amely lehetőséget biztosít a fájlban lévő szerkesztési opciók megadására. A Vim fejlesztői eredeti szándéka szerint a modeline használatával csak korlátozott számú opció állítható be, a kifejezéseket sandbox módban hajtják végre, amely csak a legbasic biztonságos műveletek végrehajtására engedélyezett.
A tabpanel opcióban nem volt beállítva a P_MLE jelző, ami lehetővé tette a %{expr} kifejezés használatát, amelyet a modelineexpr módban való aktiválás nélkül hajtottak végre. A sandbox-izoláció megkerülésére az autocmd_add() funkcióban lévő biztonsági ellenőrzések hiányosságait használták ki, amikor az akciót a SafeStateAgain eseményhez kötötték, lehetővé téve egy parancs végrehajtását a sandbox-izolációból való kilépés után. A sebezhetőséget a Vim v9.2.0272 kiadásában orvosolták. Az alábbi sor példa a "id" utasítás futtatására és a kimenet a «\/tmp\/calif-vim-rce-poc» fájlba irányítására: /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{‘event’\:’SafeStateAgain’,’pattern’\:’*’,’cmd’\:’!id>\/tmp\/calif-vim-rce-poc’,’once’\:1}])%}: */
Az Emacsban található sebezhetőség abból adódik, hogy automatikusan feldolgozza a .git\/ könyvtár tartalmát, amikor ez egy mappában található a megnyitott fájllal. Ilyen esetben az Emacs a fájl megnyitásakor végrehajtja a "git ls-files" és "git status" parancsokat, amelyek a " .git\/ " tartalmának kontextusában futnak. A kód végrehajtásához elegendő egy Emacs-ban megnyitni egy fájlt, amelyben van egy .git\/ almappa konfigurációs fájlal, amely tartalmazza a "core.fsmonitor" opciót a támadó által megadott parancs végrehajtására. A GNU Emacs fejlesztői elutasították a sebezhetőség kijavítását, hivatkozva arra, hogy a probléma a Git rendszerben van.
További két sebezhetőséget is érdemes megemlíteni:
- CVE-2026-33150 — memória elérhetősége a felszabadítás után az io_uring kezelőkben a libfuse könyvtárból, ami potenciálisan lehetővé teszi a kód végrehajtását az erőforrások kimerülésekor FUSE (Filesystem in Userspace) fájlrendszerekkel való munka során.
- CVE-2026-34743 — puffer túlcsordulás az lzma_index_append() funkció liblzma könyvtári megvalósításában. A probléma az lzma_index_decoder() funkció használatakor jelentkezik, amikor a dekódolt index nem tartalmaz bejegyzéseket, és kevesebb méretű puffer allokálásához vezet, mint amennyi szükséges. Megjegyzendő, hogy az lzma_index* alacsony szintű API-t rendkívül ritkán használják az alkalmazásokban, így kicsi az esélye, hogy léteznek olyan alkalmazások, amelyek kielégítik a kihasználáshoz szükséges feltételeket az index kezelésében. A sérülékenységet az XZ Utils 5.8.3 frissítésében javították.
Forrás: opennet.ru
