Bīstamas ievainojamības Apache httpd, FreeBSD, Linux kodā, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 un OpenSSL

Pēdējā laikā atklātās bīstamās ievainojamības, kas ļauj iegūt root piekļuvi sistēmā vai panākt attālinātu kodu izpildi:

• 20 ievainojamību Apache httpd, tostarp bufera pārpildes problēma mod_vhost_alias (CVE-2026-63292), kas potenciāli ļauj attālināti izpildīt kodu, nosūtot HTTP pieprasījumu ar lielu HTTP virsrakstu Host. Ievainojamība izpaužas, norādot VirtualDocumentRoot direktīvā vietturus, kas balstīti uz hosta nosaukumu, un palielinot LimitRequestFieldSize ierobežojumu.

  Citu bīstamu problému vidū: piekļuve atmiņai pēc tās atbrīvošanas mod_rewrite, izmantojot konstrukciju %{LA-U:HTTP:…} (CVE-2026-56154); bufera pārpilde mod_charset_lite (CVE-2026-56153); piekļuve jau atbrīvotai atmiņai mod_http2 (CVE-2026-57941); bufera pārpilde failu ceļu analīzē Windows vidē (CVE-2026-59685); vesela skaitļa pārpilde mod_dav_fs (CVE-2026-93546). Problēmas novērstas izlaišanā 2.4.69.

• 9 ievainojamību FreeBSD. Starp identificētajām problēmām: bufera pārpilde, kas noved pie kodu izpildes kodola līmenī, strādājot ar sistēmas izsaukumu semop (CVE-2026-58098); privileģiju paaugstināšana, jo piekļuve atmiņai pēc tās atbrīvošanas kqueue (CVE-2026-58099); iziešana ārpus saknes katalogā izolētajā jail vidē (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); kodola avārija, sūtot specielizētu tīkla paketi, kad ir ieslēgta KTLS (CVE-2026-101302); tīkla izolācijas mehānismu apstrāde jail (CVE-2026-101303). Ievainojamības novērstas atjauninājumos FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 un 14.4-RELEASE-p10.
• 6 ievainojamību LibreOffice, kas atverot speciāli izstrādātus dokumentus var izraisīt kodu izpildi (CVE-2026-63277, eksploitācija), ierakstīšanu nejaušos failos (CVE-2026-63266) vai vietējo failu satura noplūdi (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Problēmas novērstas LibreOffice 26.2.5 un 26.8.0.
• Ievainojamība (CVE-2026-59265, eksploitācija) Apache OpenOffice, kas izraisa kodu izpildi, atverot speciāli noformētu dokumentu, dēļ kļūdas Java integrācijas funkcijās. Problēma tiks novērsta izlaidumā 4.1.17, kas pašlaik tiek testēts kā izlaišanas kandidāts.
• Ievainojamības tī serveri CUPS drukas. Pašlaik ir atklāti tikai 14 problēmu dati ar bīstamības līmeni zem 7 (CVSS), bet bīstamāko problēmu saraksts tiks publicēts pēc embargo beigām, dodot laiku izlabot izplatījumus. Visbīstamākās no atklātajām ievainojamībām ļauj palielināt privilēģijas (CVE nav piešķirts) un attālināti izpildīt savu kodu ar lietotāja lp privilēģijām (CVE-2026-55453), piekļūstot IPP printerim, kas pakļauts uzbrucējam. Problēmas ir novērstas CUPS 2.4.20 laidienā.
• Ievainojamība (CVE-2026-80521, eksploitācija) Linux kodolā, kas ļauj piekļūt viesu sistēmai no izolēta konteineru. Ievainojamību izraisa sacensības stāvoklis AF_UNIX socketu īstenošanā, kas noved pie piekļuves atmiņai pēc tās atbrīvošanas, un to var izmantot, lai izpildītu patvaļīgu kodu kodola līmenī. Problēma ir novērsta augusta kodola atjauninājumos.
• Debian GNU/Linux 13 ir publicēts Linux kodola paketes atjauninājums 6.12.111-1, kurā ir novērstas 1313 ievainojamības.
• Ievainojamība (CVE-2026-94545) Next.js platformā, kas ļauj attālināti bez autentifikācijas izpildīt savu kodu serverī, nosūtot pieprasījumu SVG attēla ģenerēšanai, ja serverī ir OG kartes (Open Graph) priekšskatījuma apstrādātājs. Problēma ir saistīta ar ievainojamību Satori bibliotēkā, kas tiek izmantota HTML un CSS konvertēšanai SVG. Ievainojamību izraisa adekvātas escape- simbolu pārbaudes trūkums pirms to ieguldīšanas SVG failā, ko varēja izmantot, lai pievienotu tagu SVG iezīmē, kas tika izpildīts servera pusē, konvertējot SVG uz rastra formātu. Problēma novērsta Satori 0.33.5 un Next.js 15.5.26, 16.3.6 un 16.4.0.
• Ievainojamības (CVE-2026-33937, CVE-2026-106445) JavaScript bibliotēkā handlebars.js, kas ir 50 miljoni lejupielāžu nedēļā un 17 tūkstoši atkārtotiem projektiem. Ievainojamības ļauj organizēt attālināto JavaScript koda izpildi serverī (lietošanai ar bibliotēku Node.js) nododot jau veidotus AST objektus (Abstract Syntax Tree) papildus virkņu sagatavēm šablonizatorā. Problēmas ir novērstas versijā 4.7.10.
• WolfSSL 5.9.4 kriptogrāfiskajā bibliotēkā ir novērstas 11 ievainojamības, no kurām visbīstamākās ļauj apiet autentifikāciju, izmantojot viltotus sertifikātus.
• Sešas ievainojamības Flatpak pašpietiekamo pakotņu sistēmā, tostarp problēmas, kas ļauj dzēst (CVE-2026-97023) un rakstīt (CVE-2026-97024) failus galvenajā sistēmā ar root tiesībām, kā arī nosūtīt signālus procesiem ārpus izolētās vides (CVE-2026-97029). Problēmas novērstas Flatpak versijā 1.18.4.
• Ievainojamība PCRE2 bibliotēkā, ko izraisa bufera pārpildīšana JIT kompilatorā regulārajām izteiksmēm. Izstrādāts exploits, kas ļauj attālināti izpildīt kodu PHP projektos, piemēram, phpMyAdmin, apstrādājot uzbrucēja norādīto regulāro izteiksmi PCRE2 funkcijās. Problēma novērsta libpcre2 10.49 versijā.
• 14 ievainojamības OpenSSL šifrēšanas bibliotēkā, no kurām bīstamākās var novest pie procesa atmiņas satura noplūdes, manipulējot ar DTLS savienojuma saskaņošanu (CVE-2026-84782), piekļūstot atmiņai pēc tās atbrīvošanas, vienlaikus piekļūstot vienam X.509 sertifikātam no dažādiem pavedieniem (CVE-2026-84783), un atjaunojot slēgtos atslēgas, analizējot izpildes laiku caur sānu kanāliem, ģenerējot SM2 un brainpoolP384r1 parakstus (CVE-2026-54872, CVE-2026-77696). Problēmas novērstas OpenSSL versijās 4.0.3, 3.6.5, 3.5.9 un 3.4.8.
• Publicēts exploits ievainojamībai PostgreSQL datu bāzu pārvaldības sistēmā (CVE-2026-15742), kas ļauj ar lietotāja tiesībām, ar kurām darbojas datu bāzes pārvaldība, izpildīt kodu serverī, nosūtot īpaši sagatavotus vērtības SQL funkcijām levenshtein() un levenshtein_less_equal(). Ievainojamība novērsta PostgreSQL versijās 18.6, 17.11, 16.15, 15.19 un 14.24.
• Gitea lietojumprogrammas kopradīšanas platformas atjauninājumos 28.0.0 un 28.1.0 novērstas vairākas desmitiem ievainojamību, tostarp pull pieprasījuma nosūtīšana, apejot izmaiņu apstiprināšanas mehānismu (CVE-2026-104632), koda izpilde CI no forka (CVE-2026-94205), autentifikācijas apietšana iebūvētajā SSH serverī, ignorējot simbolu reģistru, atlasot no datu bāzes (CVE-2026-103059).
• Bufera pārpildīšana (CVE-2026-102633) libexpat bibliotēkā, kas rodas 32 bitu platformās, apstrādājot īpaši sagatavotus XML failus. Problēma novērsta versijā 2.9.0.
• Divas ievainojamības FreeIPMI paketē pārvaldībai, serveriemkas atbalsta IPMI (Intelligent Platform Management Interface) interfeisu. Viena no ievainojamībām rada bufera pārpildīšanu, apstrādājot īpaši sagatavotu saimniekā vārdu. Problēmas novērstas FreeIPMI 1.6.20 versijā.
• IBM un Red Hat projekta Lightwell ietvaros identificēja un sagatavoja labojumus vairāk nekā 400 ievainojamībām atvērtā koda Java bibliotēkās.

Avots: opennet.lv