Il 30 giugno 2026 sono state pubblicate notifiche di correzione di 13 nuove vulnerabilità nel sistema operativo FreeBSD.
- CVE-2026-49418. Un utente con accesso a un dispositivo che ha un'interfaccia memory-mapped può organizzare un double-free/use-after-free nel kernel. Questo potrebbe portare a un aumento dei privilegi.
- CVE-2026-49419. (solo FreeBSD 15+) Doppia diminuzione del refcount della jail corrente durante la gestione di un errore di accesso a un'altra jail tramite il jail descriptor (introdotto in FreeBSD 15), che porta a un rilascio imprevisto della struttura di controllo della jail e successivi use-after-free ovunque venga utilizzata. Teoricamente potrebbe portare a un aumento dei privilegi.
- CVE-2026-49415. Durante l'esecuzione di un programma setuid, i diritti di accesso alla sua memoria vengono impostati poco dopo che questa memoria viene inizializzata, il che consente di accedervi e modificarla per un breve periodo senza avere i privilegi necessari, tramite procfs o linprocfs. Nella maggior parte dei sistemi procfs, e ancor di più libprocfs, non sono montati, quindi il problema probabilmente interessa poche persone.
- CVE-2026-49429, CVE-2026-49430, CVE-2026-49431. (solo per sistemi con ZFS) Le prime due vulnerabilità sono legate all'allocazione di memoria di dimensioni non corrette: viene allocato un buffer di dimensioni comunicate come numero a 32 bit, e poi vi vengono scritti dati di dimensioni reali, il che porta a un overflow se la dimensione reale del buffer era superiore a 4GB. Entrambe possono essere sfruttate solo da root o da un utente con privilegi espliciti per le operazioni vulnerabili. La terza vulnerabilità è accessibile a chiunque e consente a chiunque di assegnare il flag "$hasrecvd" a un dataset tramite ZFS_IOC_SET_PROP (non è chiaro quanto sia pericoloso da quanto segnalato).
- CVE-2026-49420. L'assenza di un'adeguata verifica della dimensione del pacchetto prima della scrittura nel buffer a dimensione fissa nello stack nel modulo libalias per il supporto RTSP porta alla possibilità di sovrascrivere il stack o del kernel (per ipfw nat) o del processo natd (che di solito viene eseguito come root) in modo remoto e senza autorizzazione. Può potenzialmente portare a RCE. La vulnerabilità può essere attivata da un host malevolo all'interno della rete locale dietro NAT, implementato tramite libalias, che inoltra pacchetti RTSP dannosi. Di conseguenza, la vulnerabilità non riguarda gli host su cui non è in esecuzione il NAT in alcuna forma. Inoltre: natd smetterà di essere vulnerabile se si rimuove la riga libalias_smedia.so da /etc/libalias.conf e si riavvia natd, mentre ipfw nat non sarà vulnerabile senza il caricamento del modulo alias_smedia.ko (non è specificato se possa caricarlo automaticamente). Inoltre, il gestore vulnerabile esamina solo pacchetti TCP/UDP in uscita, nei quali una delle porte è 554 o 7070: se si blocca il passaggio di tali pacchetti prima che vadano in NAT, la vulnerabilità scompare.
- CVE-2026-49421. unlinkat() e funlinkat() non consideravano il flag AT_RESOLVE_BENEATH, che avrebbe dovuto vietare l'uscita dal percorso oltre la directory specificata dall'argomento dirfd. Di conseguenza, era possibile eliminare file al di fuori della directory quando il codice chiamante desiderava applicare questa restrizione.
- CVE-2026-49422. Race condition nel modulo tcp_rack.ko (di default non è caricato). È possibile selezionare individualmente lo stack tcp per ogni socket tcp, compreso il cambio in tempo reale. Se si procede in questo modo: 1) sul socket con tcp_rack si invoca un setsockopt() specifico per rack, 2) in un altro thread riusciamo a cambiare rapidamente lo stack tcp da rack a un altro e poi rimetterlo su rack al momento giusto, il gestore setsockopt() di rack funzionerà con il vecchio (prima del cambio) indirizzo della struttura di stato del socket, portando a un danneggiamento della memoria e a un possibile aumento dei privilegi. Sono vulnerabili solo i sistemi su cui è esplicitamente caricato tcp_rack.ko, questo non è predefinito.
- CVE-2026-49427, CVE-2026-49428. Le largepages POSIX (shm_create_largepage) non venivano contrassegnate in modo sufficientemente accurato come utilizzate durante l'allocazione, il che poteva portare alla loro errata liberazione in varie circostanze (sono stati citati chiamate sendfile con il flag SF_NOCACHE, open con il flag O_TRUNC e fspacectl) e al successivo use-after-free con le consuete conseguenze.
- CVE-2026-49426. Log non corretti audit(4) per chiamate di sistema remote tramite ptrace(PT_SC_REMOTE). Possono confondere i sistemi di analisi delle situazioni sospette, se utilizzati.
- CVE-2026-49423. Possibile kernel-panic durante la ricezione di dati tramite kTLS con coinvolgimento di registrazioni TLS 1.2 CBC. Per evitare il problema, è possibile impostare kern.ipc.tls.enable=0 o kern.ipc.tls.cbc_enable=0.
- CVE-2026-49424. Fuga di dati (104 byte) dallo stack del kernel durante la chiamata di linux-compat waitid(), che dimentica di azzerare la parte non utilizzata della struttura linux siginfo_t durante il trasferimento di dati da quella freebsd. Nei normali kernel GENERIC, l'emulatore linux è disattivato per impostazione predefinita e viene attivato solo con il caricamento manuale del modulo.
- CVE-2026-49425. Analogamente al precedente, kevent a 32 bit dimentica di azzerare la struttura a 32 bit prima di trasferire dati da quella nativa a 64 bit, causando una fuga di dati dallo stack. Per impostazione predefinita, la compatibilità a 32 bit nel kernel è abilitata (non tramite modulo).
- CVE-2026-58081, CVE-2026-58082. Vulnerabilità in iconv. Prima: molti dei suoi moduli non verificano la dimensione del buffer di output fornito dal codice chiamante prima di scriverci il risultato (menzionati HZ, UTF-7, VIQR, ZW). Seconda: il modulo ISO-2022 utilizza un buffer a 6 byte nello stack per operazioni interne, ma può contenere fino a 10 byte, corrompendo lo stack. Di conseguenza, l'esecuzione di iconv per la conversione in o da uno dei codici sopra menzionati con dati di input non verificati può essere soggetta a overflow del buffer.
Fonte: linux.org.ru
