Een reeks kwetsbaarheden is ontdekt in de Linux- en FreeBSD-kernels. De kwetsbaarheden in Linux maken het mogelijk om op afstand code uit te voeren, systeemprivileges te verhogen, containers te verlaten of de isolatie van virtuele machines te omzeilen. De kwetsbaarheden in FreeBSD stellen een aanvaller in staat om de werking van de kernel op afstand te stoppen, systeemprivileges te verhogen en de isolatie van de hypervisor Bhyve te omzeilen.
Kwetsbaarheden in de Linux-kernel:
- 5 kwetsbaarheden, onthuld door het Zero Day Initiative vóór de publicatie van patches vanwege een verkeerde verzending naar de verkeerde mailinglijst:
- ZDI-CAN-33549 — een kwetsbaarheid in de ksmbd-module met een bestandimplementatie gebaseerd op het SMB-protocol, die kan worden uitgebuit voor het op afstand uitvoeren van code op kernniveau. Het probleem wordt veroorzaakt door een integer overflow in de functie mbdirect_connection_rdma_xmit(), die optreedt wanneer de kernel is opgebouwd met de opties ‘CONFIG_SMB_SERVER_SMBDIRECT=y’ en ‘CONFIG_RDMA_RXE=y’. Voor een succesvolle aanval moet de aanvaller schrijfrechten hebben op de gedeelde opslag die door het doelwit wordt aangeboden, de server waar ook RDMA- en SMB Direct-technologieën moeten worden gebruikt. Er is een prototype-exploit beschikbaar die werkt op Debian 13. serverZDI-CAN-33774 — een raceconditie in de ksmbd-kernelmodule die leidt tot het schrijven van 62 bytes gegevens uit de SMB2-header in een 40-byte buffer dat is toegewezen voor het SMB1-protocol. De kwetsbaarheid kan leiden tot het op afstand uitvoeren van code met toegang tot de SMB-opslag die via ksmbd wordt verwerkt. Er is een prototype-exploit beschikbaar die werkt op Debian 13.
- ZDI-CAN-33367 — een kwetsbaarheid in de netwerkstack van de kernel die een lokale gebruiker in staat stelt root-rechten in het systeem te verkrijgen door gegevens van een proces in de paginacache te overschrijven, vergelijkbaar met de Dirty Frag- en Fragnesia-kwetsbaarheden. Dit keer wordt het probleem veroorzaakt door een fout in de functie
- skb_zerocopy(). Een prototype-exploit is voorbereid die werkt in verschillende versies van Ubuntu. Een patch is beschikbaar. Tot nu toe hebben alleen de ontwikkelaars van Alma Linux een ongeplande update voor de kernelpakketten voorbereid waarin deze kwetsbaarheid is verholpen.
ZDI-CAN-34068 — een buffer overflow in de VMWGFX grafische driver, die wordt gebruikt voor 3D-versnelling in VMware-omgevingen. Het probleem stelt een lokale gebruiker in staat om root-rechten in het systeem te verkrijgen, mits toegang is tot de virtuele GPU via het apparaat /dri/card*. Er is een prototype-exploit beschikbaar die werkt op Ubuntu 26.04. - ZDI-CAN-34068 — переполнение буфера в графическом драйвере VMWGFX, применяемом для реализации 3D-ускорения в окружениях VMware. Проблема позволяет локальному пользователю получить права root в системе, при наличии доступа к виртуальному GPU через устройство /dri/card*. Доступен прототип эксплоита, работающий в Ubuntu 26.04
- ZDI-CAN-34076 — kwetsbaarheid in de nvmet-driver (NVMe Target), wat leidt tot een lek van informatie over de inhoud van het kernel-geheugen.
- Details zijn onthuld en prototypes van exploits zijn gepubliceerd voor 5 kwetsbaarheden in de kernel, die een niet-geprivilegieerde gebruiker in staat stellen om root-rechten in het systeem te verkrijgen en de isolatie van containers te omzeilen. De set kwetsbaarheden heeft de codenaam 'Infinity Core' gekregen. De problemen zijn al opgelost in de actuele kernelversies.
- CVE-2026-98260 — toegang tot geheugen na vrijgave door hergebruik van een POSIX-timerstructuur, waarvan het geheugen in de hoofdthread werd vrijgegeven na een crash tijdens het aanroepen van exec(), maar de referentie bleef in de wachtrij (timerqueue) in een andere thread. Een prototype-exploit is beschikbaar, waarvan het functioneren is gedemonstreerd in Ubuntu 26.04 en op Android op de Samsung Galaxy S26 Ultra.
- CVE-2026-98256 — toegang tot geheugen na vrijgave door een raceconditie tussen het aanroepen van exec() in de secundaire thread en het opruimen van de signaalwachtrij (sigqueue), die wacht op verwerking. Tijdens het manipuleren van de wachtrij kan er een situatie ontstaan waarbij de referentie naar de signaalhandler in de wachtrij blijft nadat het bijbehorende geheugen is vrijgegeven, en vervolgens wordt gebruikt bij de verwerking van signalen. De werking van de exploit is gedemonstreerd in Ubuntu 26.04.
- CVE-2026-89754 — buffer-overflow in de implementatie van de systeemaanroep mincore(), die optreedt door een raceconditie tijdens het opnieuw doorlopen van de paginatabellen nadat madvise(MADV_DONTNEED) is uitgevoerd. De werking van de exploit is gedemonstreerd in Ubuntu 26.04.
- CVE-2026-80775 — toegang tot geheugen na vrijgave in de systeemaanroep prctl(), die optreedt door een onjuiste tracking van referentietellers voor de hashes van futexen bij het optreden van
een raceconditie tussen taken die gezamenlijk gebruikmaken van één mm_struct-structuur bij de geneste aanroep vfork(). Een exploit die de kwetsbaarheid gebruikt om /usr/bin/passwd in de paginacache te overschrijven, is gedemonstreerd in Ubuntu 26.04. - CVE-2026-98385 — geheugenverlies na het vrijgeven in de taakplanner cache-handler, veroorzaakt doordat de planner velden met statistieken in de mm_struct-structuur voor een taak bijwerkt na het vrijgeven van het bijbehorende geheugen, wanneer een exec()-aanroep op een andere CPU-core wordt uitgevoerd. De kwetsbaarheid komt voor in kernels met de CONFIG_SCHED_CACHE-optie ingeschakeld. De werking van de exploit is gedemonstreerd in
Arch Linux met kernel 7.2.4.
- Kwetsbaarheid Vghost (CVE-2026-74580) in de kernel vhost-subsystem, gebruikt om invoer/uitvoer operaties via Virtio in virtualisatiesystemen te versnellen. De kwetsbaarheid wordt veroorzaakt door een onjuiste werking met de cache van de invoer-/uitvoer-adresvertalingstabellen (IOTLB) en kan worden gebruikt om gebruikersprivileges in het systeem te verhogen en om de isolatie van het gastbesturingssysteem te omzeilen. Bij het opnieuw configureren van adressen of queue-groottes (vring) via VHOST_SET_VRING_ADDR of VHOST_SET_VRING_NUM werd de cache vq->meta_iotlb[] niet gewist, wat leidde tot het vertalen van nieuwe adressen met reeds ongeldige mapping-informatie.
Een prototype-exploit voor het verkrijgen van root-rechten is gepubliceerd, getest op de distributies Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 en Oracle Linux 10.2.
De kwetsbaarheid kan worden gebruikt om code op kernniveau van het host-systeem uit te voeren via manipulatie van de VIRTIO_F_RING_RESET-aanroep in het gastbesturingssysteem in gevirtualiseerde omgevingen met virtuele IOMMU.
Het probleem doet zich voor vanaf Linux-kernel 4.11 en is opgelost in versies 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 en 7.2. Als tijdelijke beveiliging kan de toegang tot de apparaten /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi en /dev/vhost-vdpa-* worden beperkt.
Kwetsbaarheden in FreeBSD (opgelost in updates 15.1-RELEASE-p5, 14.5-RELEASE-p2 en 14.4-RELEASE-p11):
- CVE-2026-101308 — geheugenverlies na het vrijgeven in de sounddriver, veroorzaakt door een raceconditie tussen de buffer-grootte wijzigingsoperatie en het geheugenmapping via mmap. De kwetsbaarheid stelt een lokale gebruiker met toegang tot het geluidsapparaat in staat om root-rechten te verkrijgen.
- CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 — kwetsbaarheden in de hypervisorcomponenten Bhyve, die het mogelijk maken om via manipulatie in het gastensysteem code uit te voeren op de hostomgeving. De problemen worden veroorzaakt door buffer-overflow als gevolg van een raceconditie in het xHCI-controller (USB 3) model, evenals het ontbreken van groottecontroles voor gegevens in HDA (High Definition Audio) apparaatmodellen en framebuffer.
- CVE-2026-101307 — een integer overflow in de tcp_rack-module met de implementatie van het RACK (Recent ACKnowledgment) algoritme voor het detecteren van pakketverlies, dat leidt tot de allocatie van een te kleine buffer om alle ontvangen gegevens te bevatten. De kwetsbaarheid maakt het mogelijk om tot 512 KB buiten de buffer te overschrijven bij het verzenden van een groot aantal ACK-pakketten in een gevestigde TCP-verbinding. Het wordt opgemerkt dat exploitatie kan leiden tot een kernel panic.
Bron: opennet.ru
