Onlangs ontdekte gevaarlijke kwetsbaarheden die toegang tot root kunnen bieden in het systeem of waarmee op afstand code kan worden uitgevoerd:
- 20 kwetsbaarheden in Apache httpd, waaronder een buffer-overflow in mod_vhost_alias (CVE-2026-63292), die mogelijk op afstand code kan uitvoeren door een HTTP-verzoek te verzenden met een grote HTTP-header voor Host. De kwetsbaarheid doet zich voor bij het gebruik van een hostnaam vervangingsspecifisator in de VirtualDocumentRoot-directive, en het verhogen van de limiet LimitRequestFieldSize.
Andere gevaarlijke problemen zijn: toegang tot geheugen na vrijgave in mod_rewrite bij gebruik van de constructie %{LA-U:HTTP:…} (CVE-2026-56154); buffer-overflow in mod_charset_lite (CVE-2026-56153); toegang tot al vrijgegeven geheugen in mod_http2 (CVE-2026-57941); buffer-overflow bij het parseren van padbestanden in Windows (CVE-2026-59685); gehele getal overloop in mod_dav_fs (CVE-2026-93546). De problemen zijn opgelost in release 2.4.69.
- 9 kwetsbaarheden in FreeBSD. Onder de ontdekte problemen: buffer-overflow die leidt tot code-uitvoering op kernniveau bij manipulatie van de systeemaanroep semop (CVE-2026-58098); privilege-verhoging door toegang tot geheugen na vrijgave in kqueue (CVE-2026-58099); uitloop buiten de hoofdmap van het geïsoleerde jail-omgeving (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); kerncrash door het verzenden van een speciaal gevormd netwerkpakket bij inschakeling van KTLS (CVE-2026-101302); omzeiling van netwerkintegratiemechanismen in jail (CVE-2026-101303). De kwetsbaarheden zijn opgelost in de updates van FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 en 14.4-RELEASE-p10.
- 6 kwetsbaarheden in LibreOffice die bij het openen van speciaal opgemaakte documenten leiden tot code-uitvoering (CVE-2026-63277, exploit), schrijven naar willekeurige bestanden (CVE-2026-63266) of het lekken van inhoud van lokale bestanden (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). De problemen zijn opgelost in LibreOffice 26.2.5 en 26.8.0.
- Kwetsbaarheid (CVE-2026-59265, exploit) in Apache OpenOffice die leidt tot code-uitvoering bij het openen van een speciaal opgemaakt document vanwege een fout in de integratiefuncties met Java. Het probleem zal worden opgelost in release 4.1.17, die momenteel in de testfase van releasekandidaten verkeert.
- Kwetsbaarheden in de server CUPS-printservers. Tot nu toe zijn alleen gegevens over 14 problemen met een bedreigingsniveau lager dan 7 (CVSS) onthuld, terwijl een lijst met meer gevaarlijke problemen zal worden gepubliceerd na het verstrijken van het embargo, wat tijd geeft om correcties in de distributies aan te brengen. De meest gevaarlijke van de onthulde kwetsbaarheden stellen aanvallers in staat om hun privileges te verhogen (CVE niet toegewezen) en om op afstand hun code uit te voeren met de rechten van de lp-gebruiker (CVE-2026-55453) wanneer verbinding wordt gemaakt met een door de aanvaller gecontroleerde IPP-printer. De problemen zijn verholpen in CUPS-versie 2.4.20.
- Een kwetsbaarheid (CVE-2026-80521, exploit) in de Linux-kernel die toegang tot het host-systeem mogelijk maakt vanuit een geïsoleerde container. Deze kwetsbaarheid wordt veroorzaakt door een raceconditie in de implementatie van AF_UNIX-sockets, wat leidt tot toegang tot geheugen na vrijgave, dat kan worden uitgebuit om willekeurige code op kernel-niveau uit te voeren. Het probleem is opgelost in de augustus-updates van de kernel.
- Voor Debian GNU/Linux 13 is een update van het pakket met Linux-kernel 6.12.111-1 gepubliceerd, waarin 1313 kwetsbaarheden zijn verholpen.
- Een kwetsbaarheid (CVE-2026-94545) in het Next.js-platform die het mogelijk maakt om op afstand zonder authenticatie je code op de server uit te voeren door een verzoek te sturen voor het genereren van een SVG-afbeelding, mits er op de server een handler is voor het weergeven van OG-afbeeldingen (Open Graph). Dit probleem hangt samen met een kwetsbaarheid in de Satori-bibliotheek, die wordt gebruikt om HTML en CSS naar SVG om te zetten. De kwetsbaarheid wordt veroorzaakt door het ontbreken van een goede controle op escape-tekens voordat deze in het SVG-bestand worden ingevoegd, wat kon worden gebruikt om een -tag in de SVG-markup toe te voegen, die op de server werd uitgevoerd tijdens de conversie van SVG naar rasterformaat. Het probleem is opgelost in Satori 0.33.5 en Next.js 15.5.26, 16.3.6 en 16.4.0.
- Kwetsbaarheden (CVE-2026-33937, CVE-2026-106445) in de JavaScript-bibliotheek handlebars.js, met 50 miljoen downloads per week en 17.000 afhankelijke projecten. Deze kwetsbaarheden maken het mogelijk om op afstand JavaScript-code op de server uit te voeren (bij gebruik van de bibliotheek met Node.js) via het invoegen van al gevormde AST-objecten (Abstract Syntax Tree) in de sjablonen, naast string-sjablonen. De problemen zijn verholpen in versie 4.7.10.
- In de cryptografische bibliotheek wolfSSL 5.9.4 zijn 11 kwetsbaarheden verholpen, waarvan de meest gevaarlijke het mogelijk maken om authenticatie te omzeilen door gebruik te maken van vervalste certificaten.
- 6 kwetsbaarheden in het systeem van zelfvoorzienende Flatpak-pakketten, waaronder problemen die het mogelijk maken om bestanden te verwijderen (CVE-2026-97023) en te schrijven (CVE-2026-97024) op het hoofdsysteem met rootrechten, evenals het verzenden van signalen naar processen buiten de geïsoleerde omgeving (CVE-2026-97029). De problemen zijn verholpen in versie Flatpak 1.18.4.
- Kwetsbaarheid in de PCRE2-bibliotheek, veroorzaakt door een bufferoverloop in de JIT-compiler voor reguliere expressies. Er is een exploit voorbereid die kan leiden tot remote code execution in PHP-projecten zoals phpMyAdmin, bij het verwerken van een door de aanvaller opgegeven reguliere expressie in functies gebaseerd op PCRE2. Het probleem is opgelost in versie libpcre2 10.49.
- 14 kwetsbaarheden in de cryptografische bibliotheek OpenSSL, waarvan de gevaarlijkste kunnen leiden tot het lekken van de geheugeninformatie van een proces bij het manipuleren van de DTLS-verbindingen (CVE-2026-84782), toegang tot het geheugen na vrijgave terwijl tegelijkertijd toegang wordt verkregen tot een certificaat X.509 vanuit verschillende threads (CVE-2026-84783), en het reconstrueren van privésleutels door het analyseren van de uitvoeringstijd van operaties via een zijdelings kanaal bij het genereren van SM2- en brainpoolP384r1-handtekeningen (CVE-2026-54872, CVE-2026-77696). De problemen zijn verholpen in de releases van OpenSSL 4.0.3, 3.6.5, 3.5.9 en 3.4.8.
- Een exploit is gepubliceerd voor een kwetsbaarheid in de PostgreSQL-database (CVE-2026-15742), die het mogelijk maakt om code op de server uit te voeren met de rechten van de gebruiker waaronder de database draait, door speciaal opgemaakte waarden naar de SQL-functies levenshtein() en levenshtein_less_equal() te verzenden. De kwetsbaarheid is verholpen in de releases van PostgreSQL 18.6, 17.11, 16.15, 15.19 en 14.24.
- In de updates van het samenwerkingsplatform Gitea 28.0.0 en 28.1.0 zijn tientallen kwetsbaarheden verholpen, waaronder het omzeilen van het bevestigingsmechanisme voor wijzigingen bij het indienen van pull-requests (CVE-2026-104632), code-uitvoering in CI vanuit een fork (CVE-2026-94205), en het omzeilen van authenticatie in de ingebouwde SSH-server door het negeren van lettertypegevoeligheid bij database-query's (CVE-2026-103059).
- Bufferoverloop (CVE-2026-102633) in de libexpat-bibliotheek, die optreedt op 32-bits platforms bij het verwerken van speciaal opgemaakte XML-bestanden. Het probleem is verholpen in versie 2.9.0.
- Twee kwetsbaarheden in het FreeIPMI-pakket voor het beheren servers, dat interface IPMI (Intelligent Platform Management Interface) ondersteunt. Een van de kwetsbaarheden leidt tot een bufferoverloop bij het verwerken van een speciaal opgemaakt hostnaam. De problemen zijn verholpen in versie FreeIPMI 1.6.20.
- Binnen het Lightwell-project hebben IBM en Red Hat meer dan 400 kwetsbaarheden in open-source Java-bibliotheken geïdentificeerd en verholpen.
Bron: opennet.ru
