Il 20 maggio 2026, gli sviluppatori di FreeBSD hanno annunciato la correzione di sette nuove vulnerabilità nel sistema. Non tutte sono ugualmente pericolose, ma ci sono anche problematiche molto gravi.
CVE-2026-45251 — use-after-free in chiamate di sistema simili a select, se nella loro lista di attesa ci sono descrittori di processi (in FreeBSD 15 ci sono anche nuovi descrittori di jail), e questi descrittori sono stati chiusi in un altro thread mentre la chiamata di sistema era ancora in attesa. A giudicare da questo commit, sono coinvolti anche descrittori associati a netmap (driver per l'accesso diretto accelerato all'adattatore di rete), ma non ci sono informazioni ufficiali al riguardo. I descrittori di processo sono stati introdotti in FreeBSD 9, quindi la vulnerabilità esiste probabilmente da allora. Nella dichiarazione ufficiale viene indicato che la vulnerabilità consente di ottenere privilegi di superutente. Non ci sono modi per neutralizzarla senza patch/aggiornamento.
CVE-2026-45250 — calcolo errato della dimensione del buffer e successiva scrittura oltre il buffer nello stack nella chiamata di sistema setcred, e nonostante il fatto che setcred richieda privilegi di root, la corruzione dello stack avviene prima che i privilegi vengano controllati e quindi è accessibile a tutti. Questa chiamata di sistema è stata introdotta in FreeBSD 14.3 (quindi le versioni precedenti non sono interessate) e fornisce un modo per impostare tutti gli identificatori utente e di gruppo del processo attuale con una chiamata, anziché combinazioni di setuid+setgid+setgroups e simili. La vulnerabilità consente di eseguire codice dannoso nel contesto del kernel. Non ci sono modi per neutralizzarla senza patch/aggiornamento.
CVE-2026-45252 — assenza di controllo della presenza di un terminatore nullo prima di copiare una stringa ottenuta dal demone fuse in un nuovo buffer. Tuttavia, c'è un controllo sulla dimensione massima di copia, quindi non è possibile leggere più di 253 byte extra dalla memoria del kernel. Inoltre, è possibile scrivere fino a 250 byte nello "spazio heap del kernel non allocato". Per impostazione predefinita, in FreeBSD è vietato il montaggio di filesystem da parte di utenti non root, quindi per fornire un demone fuse malevolo al kernel è necessario essere root. Tuttavia, se sysctl vfs.usermount=1 — il sistema diventa vulnerabile anche per gli utenti normali. Bisogna anche considerare il pericolo del demone fuse in un jail, dove potrebbe anche essere root (ma per impostazione predefinita è anche questo vietato).
CVE-2026-45253 — utilizzando ptrace c'era la possibilità di avviare una chiamata di sistema con un numero non valido in un processo in fase di debug, il che portava all'esecuzione di codice non previsto nel kernel come chiamata di sistema, con conseguenze potenzialmente negative. Se è impostato security.bsd.unprivileged_proc_debug=0 (il che è una buona pratica per i server in ogni caso, e il sistema stesso consiglia di farlo facoltativamente), i processi utenti e jailed non potranno utilizzare ptrace e quindi la vulnerabilità rimarrà accessibile solo a root.
CVE-2026-45255 — iniezione di comandi shell con privilegi di root in bsdinstall/bsdconfig attraverso i nomi di reti wireless malevole, che non venivano adeguatamente filtrati, durante la visualizzazione della loro lista. Per evitare di imbattersi in questa vulnerabilità, è sufficiente non visualizzare l'elenco delle reti wireless da bsdinstall/bsdconfig.
CVE-2026-39461, CVE-2026-45254 — vulnerabilità nella libreria libcasper (non nel kernel). La libreria è progettata per fornire in modo sicuro servizi configurabili ai processi sottoposti a sandbox. Una delle vulnerabilità è associata all'overflow del buffer nello stack e alla corruzione dello stack mediante la gestione di file descriptor con numeri elevati in questa libreria (era progettata per numeri fino a 1024 - limite predefinito per le strutture nelle syscalls select). La seconda vulnerabilità è la possibilità di rimuovere le limitazioni imposte (la filosofia della libreria è che le limitazioni imposte a un processo possono essere solo rese più severe).
Le versioni corrette del sistema sono: 14.3-RELEASE-p14, 14.4-RELEASE-p5 e 15.0-RELEASE-p9. È anche importante notare un aspetto cruciale per alcuni: la release FreeBSD 13.5 è stata recentemente dismessa il 30 aprile 2026, e non ci sono più correzioni ufficiali per essa (e per il ramo 13.x in generale). Tuttavia, se per qualche motivo non volete affrettarvi al passaggio alla release 14.x, le patch per la versione 14.3 sono generalmente compatibili anche con i sorgenti 13.5, e CVE-2026-45250 per il ramo 13 non è rilevante a causa dell'assenza di setcred().
Fonte: linux.org.ru
