Keletas neseniai atrastų pavojingų pažeidžiamumų suteikia root prieigą prie sistemos arba nuotolinį kodo vykdymą.
- LXD konteinerių valdymo sistemoje aptiktos septynios spragos, o „Incus“ atšakoje – dar 11. Kelios spragos, įvertintos kaip kritinės, leidžia vietiniams neprivilegijuotiems vartotojams modifikuoti bet kokius sistemos failus arba vykdyti kodą su root teisėmis. Pažeidžiamumas buvo ištaisytas LXD 6.9, 5.21.8, 5.0.10 ir 4.0.14 versijose, taip pat „Incus 7.5.1“ versijoje. Problemas sukėlė neteisingas failų kelių tvarkymas, simbolinių nuorodų problemos ir trūkstamas įvesties patvirtinimas kode, naudojamame izoliuotoms aplinkoms migruoti ir kurti atsargines kopijas arba sistemos atvaizdams įkelti.
- CVE-2026-85526 – Savavališkų sistemos failų perrašymas apdorojant atsarginę kopiją, kurioje yra prijungimo taško kelias formatu „../../../../etc/cron.d“ subvolumes[].path.
- CVE-2026-85185 – Savavališkų failų rašymas ir naikinimas nurodant kelius su „../“ btrfs dalinių raktų pavadinimuose.
- CVE-2026-87799 – Rašymas į savavališką sistemos failą naudojant simbolinį nuorodų pakeitimą migracijos metu virtualios mašinos.
- CVE-2026-87798 – Rekursinio failų perdavimo pažeidžiamumas virtualios mašinos baziniame kataloge.
- CVE-2026-86334 - Bazinio katalogo apėjimas eksportuojant vaizdą iš išorinio serveris.
- CVE-2026-86335 – Prieiga prie kitų vartotojų privačių virtualių mašinų atvaizdų.
- CVE-2026-97335 – Projekto prieigos apribojimo apėjimas.
- „Flatpak“ autonominės paketų sistemos pažeidžiamumai. Problemos buvo ištaisytos „Flatpak 1.18.1“ versijoje. Rimčiausi pažeidžiamumai:
- CVE-2026-90616 – Simbolinių nuorodų naudojimas siekiant apeiti smėlio dėžės izoliaciją ir gauti visišką prieigą prie pagrindinės failų sistemos;
- Privilegijų eskalavimas iki root vartotojo naudojant simbolinį nuorodos pakeitimą (CVE nepriskirtas);
- CVE-2026-9627 – Failų rašymas su root teisėmis manipuliuojant failų keliais;
- CVE-2026-96275 – Failų rašymas su root teisėmis naudojant simbolinių nuorodų manipuliavimą;
- CVE-2026-96276 – Failų rašymas su root teisėmis naudojant „../“ pakeitimą failų keliuose vykdant komandą „flatpak build-init“;
- CVE-2026-96279 – Išskleidžiant OCI archyvą, skaitomi savavališki pagrindinės sistemos failai naudojant standųjį susiejimą.
- CVE-2026-92162 – Prieiga prie failų, esančių už bazinio katalogo ribų, naudojant „../“ pakeitimą „DeployAppstream“ parametruose.
- CVE-2026-96280 – Buferio perpildymas OCI delta atnaujinimo tvarkyklėje 32 bitų sistemose.
- Dvi kritinės „GitLab“ bendradarbiavimo kūrimo platformos spragos leidžia nuotoliniu būdu autentifikuotam vartotojui vykdyti savo kodą. serveris Į CI/CD nustatymus įterpiant specialiai sukurtą reguliariąją išraišką. Pažeidžiamumai yra reguliariųjų išraiškų analizatoriuje ir juos sukelia dvigubas atmetimas (CVE-2026-89078) ir sveikųjų skaičių perpildymas (CVE-2026-93577). Problemos ištaisytos 19.4.1, 19.3.3 ir 19.2.7 versijose.
- Decentralizuotos bendradarbiavimo platformos „Radicle“ mazgų naudojamame tinklo protokole yra du kritiniai pažeidžiamumai. Pirmasis pažeidžiamumas leidžia peržiūrėti mazgų keičiamus duomenis stebint srautą. Antrasis pažeidžiamumas leidžia suklastoti mazgo tapatybę ir pasiekti privačias saugyklas. Kartu šie pažeidžiamumai leidžia išgauti bet kurios saugyklos turinį iš „Radicle“ mazgų.
- Branduolio pažeidžiamumas Linux, kurią sukėlė atminties prieiga po atleidimo iš atminties dėl lenktynių sąlygos „espintcp“ modulyje, kuris naudojamas TCP protokole „Encapsulating Security Payload“ (ESP) (ESP-in-TCP, RFC 8229) įkapsuliuoti. Problema buvo ištaisyta branduolyje vasarį, prieš išleidžiant 7.0 versiją. Prieš kelias dienas buvo sukurtas veikiantis pažeidžiamumo išnaudojimo būdas, leidžiantis sistemoje vykdyti kodą su root teisėmis. Išnaudojimo būdas parodytas paveikslėlyje. CentOS 9 srautas ir Ubuntu 26.04 LTS.
- Kritinė turinio valdymo sistemos pažeidžiamumas (CVE-2026-87902) WordPress, kuris leidžia neautentifikuotam svetainės lankytojui vykdyti PHP kodą serveryje manipuliuojant puslapių šablonais, jei serveryje yra pearcmd.php failas (pasiekiamas oficialiame „Docker“ atvaizde ir numatytojoje „cPanel“ konfigūracijoje). Problema taip pat paveikia „ClassicPress“ atšaką. Užpuolikai aktyviai išnaudoja šią pažeidžiamumą, norėdami perimti svetainių kontrolę. Išleistas 25 atšakų pataisymas. WordPress, pradedant nuo 7.1.2 ir baigiant 4.7.37.
- 7 pažeidžiamumai OpenVPN, įskaitant problemas, kurias sukėlė dvigubas simbolių perrašymas (CVE-2026-84471), netinkamas specialiųjų simbolių perrašymas paleidžiant komandų interpretatorių (CVE-2026-84256) ir vieno baito buferio perpildymas analizuojant DHCP parinktis (CVE-2026-81738). Šios problemos ištaisytos šiame leidime. OpenVPN 2.6.23.
- Aštuonios NTFS-3G paketo spragos potencialiai leidžia vykdyti kodą su root teisėmis apdorojant specialiai sukurtas skaidinius arba disko atvaizdus su NTFS. Visos spragos atsiranda dėl buferio perpildymo. Šios problemos ištaisytos NTFS-3G 2026.9.18 versijoje.
- „FreeRDP“ pažeidžiamumas leidžia užmegzti RDP ryšį su serveris be autentifikavimo. Problema buvo išspręsta „FreeRDP 3.31.0“ versijoje.
- „Bubblewrap“ smėlio dėžės įrankių rinkinio pažeidžiamumas (CVE-2026-87766) leidžia rašyti failus už smėlio dėžės aplinkos ribų konteinerio diegimo metu, manipuliuojant simboline nuoroda.
- Paskelbtas CUPS spausdinimo serverio pažeidžiamumo išnaudojimo aprašymas. Šis pažeidžiamumas leidžia vietiniam vartotojui gauti root teises perrašant /etc/cups/cups-files.conf failą (nurodant šį failą kaip spausdintuvo URI) ir pakeičiant cups-exec iškvietimą. CUPS atnaujinimas dar neišleistas.
- „Dovecot“ IMAP serveryje esanti „use-after-free“ pažeidžiamumas (CVE-2026-42007) leido autentifikuotam vartotojui serveryje vykdyti savavališką kodą naudojant specialiai sukurtą „Sieve“ skriptą. Šis pažeidžiamumas buvo ištaisytas „Dovecot 2.4.5“ versijoje.
Šaltinis: opennet.ru
