{"id":181790,"date":"2026-05-29T02:48:51","date_gmt":"2026-05-29T00:48:51","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata"},"modified":"2026-05-29T02:48:51","modified_gmt":"2026-05-29T00:48:51","slug":"uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/novosti-interneta\/uyazvimosti-v-unbound-kata-containers-bind-postgresql-hplip-mongodb-rsync-7-zip-yelp-qsnapper-i-suricata","title":{"rendered":"Vulnerabilit\u00e0 in Unbound, Kata-Containers, BIND, PostgreSQL, HPLIP, MongoDB, Rsync, 7-zip, Yelp, qSnapper e Suricata","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Alcune vulnerabilit\u00e0 gravi rilevate recentemente:<\/p>\n
\n
Sei vulnerabilit\u00e0 nell'utilit\u00e0 di sincronizzazione file rsync. Il problema pi\u00f9 critico (CVE-2026-29518), causato da una condizione di corsa nella gestione dei link simbolici, consente di ottenere privilegi elevati eseguendo rsync in modalit\u00e0 background senza isolamento chroot. L'attacco avviene tramite la sostituzione di un file con un link simbolico che punta a un file arbitrario nel sistema, nel momento successivo al completamento del controllo, ma prima dell'inizio dell'operazione di scrittura. Le vulnerabilit\u00e0 sono state corrette nella versione rsync 3.4.3. CVE nei pacchetti: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Vulnerabilit\u00e0 (CVE-2026-8631) in HPLIP, una suite di driver open source per stampanti e multifunzioni, che consente di ottenere privilegi elevati ed eseguire codice nel sistema. I problemi sono causati dalla possibilit\u00e0 di sostituzione dei comandi e da un buffer overflow. Le vulnerabilit\u00e0 sono state corrette nell'aggiornamento HPLIP 3.26.4. CVE nei pacchetti: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Vulnerabilit\u00e0 nel servizio D-Bus utilizzato in qSnapper, l'interfaccia grafica per la gestione degli snapshot Btrfs. Queste vulnerabilit\u00e0 possono portare a un'escusione dei privilegi nel sistema (CVE-2026-41046), a perdite di informazioni sui cambiamenti tra gli snapshot (CVE-2026-41047) e a un bypass dell'autenticazione quando si accede a Polkit (CVE-2026-41045). La vulnerabilit\u00e0 pi\u00f9 pericolosa \u00e8 causata dall'assenza di verifica dei caratteri \u00ab..\/\u00bb nei percorsi passati alla funzione snapper::Snapper() quando si accede tramite D-Bus, che pu\u00f2 essere sfruttata per sostituire il file di configurazione per libsnapper in un gestore eseguito con privilegi elevati. \n CVE nei distribuzioni: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.<\/p>\n<\/li>\n
Vulnerabilit\u00e0 (CVE-2026-48095) nell'archiviatore 7-Zip, che porta a un overflow del buffer durante l'elaborazione dei dati compressi NTFS. Potenzialmente, la vulnerabilit\u00e0 pu\u00f2 portare all'esecuzione di codice dell'attaccante quando si accede a 7-Zip con un'immagine del file system NTFS appositamente formattata. La vulnerabilit\u00e0 \u00e8 stata risolta nella versione 7-Zip 26.01. CVE nei distribuzioni: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n
Nel server DNS Unbound 1.25.1 sono state corrette 11 vulnerabilit\u00e0. Le vulnerabilit\u00e0 pi\u00f9 gravi includono: CVE-2026-33278 \u2014 potenziale esecuzione remota di codice durante la validazione DNSSEC, CVE-2026-44608 \u2014 accesso a memoria gi\u00e0 liberata nel codice RPZ e CVE-2026-42944 \u2014 overflow del heap durante l'elaborazione di nsid. CVE nei pacchetti: Debian, Ubuntu, SUSE, RHEL, Gentoo, Arch.\n<\/li>\n