Nieuwe kwetsbaarheden in FreeBSD

2

Op 30 juni 2026 werden er meldingen gepubliceerd over de correctie van 13 nieuwe kwetsbaarheden in het FreeBSD besturingssysteem.

• CVE-2026-49418. Een gebruiker met toegang tot een apparaat met een memory-mapped interface kan een double-free/use-after-free in de kernel veroorzaken. Dit kan waarschijnlijk leiden tot privilege-escalatie.
• CVE-2026-49419. (alleen FreeBSD 15+) Dubbele vermindering van de refcount van de huidige jail bij het afhandelen van een fout bij toegang tot een andere jail via het jail descriptor (geïntroduceerd in FreeBSD 15), wat uiteindelijk leidt tot ongeplande vrijgave van de beheersstructuur van de jail en daaropvolgende use-after-free waar het overal gebruikt wordt. Dit kan theoretisch leiden tot privilege-escalatie.
• CVE-2026-49415. Bij het uitvoeren van een setuid-programma worden de toegangsrechten tot zijn geheugen iets later ingesteld dan wanneer dit geheugen is geïnitialiseerd, wat het in een korte periode mogelijk maakt om er toegang toe te krijgen en het te bewerken zonder de vereiste privileges via procfs of linprocfs. In de meeste systemen zijn procfs en vooral libprocfs niet gemonteerd, dus het probleem raakt waarschijnlijk weinig mensen.
• CVE-2026-49429, CVE-2026-49430, CVE-2026-49431. (alleen voor systemen met ZFS) De eerste twee fouten zijn gerelateerd aan het toewijzen van geheugen van onjuiste grootte: er wordt een buffer toegewezen van de grootte die is doorgegeven als een 32-bits getal, en vervolgens worden er gegevens van de werkelijke grootte in geschreven, wat leidt tot een overflow als de werkelijke grootte van de buffer groter was dan 4GB. Beide kunnen alleen door root of een gebruiker met expliciet toegevoegde privileges voor kwetsbare bewerkingen worden veroorzaakt. De derde fout kan door iedereen worden uitgebuit; deze staat iedereen toe om een vlag ‘$hasrecvd’ aan de dataset toe te voegen via ZFS_IOC_SET_PROP (hoe riskant dit is, is onduidelijk uit de aankondiging).
• CVE-2026-49420. Het ontbreken van een juiste controle van de pakketgrootte voordat deze in een vaste buffer op de stack wordt geschreven in de libalias-module voor RTSP-ondersteuning, leidt tot de mogelijkheid om de stack of kernel (voor ipfw nat) of het natd-proces (dat meestal onder root draait) op afstand en zonder autorisatie te overstromen. Dit kan potentieel leiden tot RCE. De kwetsbaarheid kan worden veroorzaakt door een kwaadaardige host binnen het lokale netwerk achter NAT, geïmplementeerd via libalias, die schadelijke RTSP-pakketten doorstuurt. De kwetsbaarheid heeft dus geen invloed op hosts waarop NAT op de een of andere manier niet is ingeschakeld. Bovendien: natd zal niet meer kwetsbaar zijn als de regel libalias_smedia.so uit /etc/libalias.conf wordt verwijderd en natd opnieuw wordt gestart, en ipfw nat zal niet kwetsbaar zijn zonder het laden van de alias_smedia.ko-module (het is niet aangegeven of deze automatisch kan worden geladen). Ook kijkt de kwetsbare handler alleen naar TCP/UDP-pakketten die naar buiten gaan, waarbij een van de poorten 554 of 7070 is; als dergelijke pakketten worden gefirewalled voordat ze in NAT komen, verdwijnt de kwetsbaarheid ook.
• CVE-2026-49421. unlinkat() en funlinkat() hielden geen rekening met de vlag AT_RESOLVE_BENEATH, die had moeten voorkomen dat bij het doorlopen van dit pad buiten de directory, opgegeven door het argument dirfd, werd getreden. Hierdoor was het mogelijk om bestanden buiten de directory te verwijderen wanneer de aanroepende code deze beperking zou willen handhaven.
• CVE-2026-49422. Een race in de tcp_rack.ko-module (standaard niet geladen). Voor elke tcp-socket kan een individuele tcp-stack worden geselecteerd waardoor deze werkt, inclusief het in real-time schakelen tussen hen. Als we het als volgt doen: 1) op een socket met tcp_rack een rack-specifieke setsockopt() aanroepen, 2) in een andere thread snel de tcp-stack van rack naar een andere schakelen en weer terug naar rack op het juiste moment, dan zal de rack-handler setsockopt() werken met het oude (voor de omschakeling) adres van de socket-statusstructuur, wat leidt tot geheugenbeschadiging en mogelijk privilegeverhoging. Alleen systemen waar expliciet tcp_rack.ko is geladen zijn kwetsbaar, dit is niet standaard.
• CVE-2026-49427, CVE-2026-49428. POSIX largepages (shm_create_largepage) werden niet zorgvuldig genoeg gemarkeerd als gebruikt bij allocatie, wat kon leiden tot onjuiste vrijgave onder verschillende omstandigheden (er zijn aanroepen van sendfile met de vlag SF_NOCACHE, open met de vlag O_TRUNC en fspacectl genoemd) en daaropvolgende use-after-free met de gebruikelijke gevolgen.
• CVE-2026-49426. Ongeldige audit(4) logs over externe syscalls via ptrace(PT_SC_REMOTE). Dit kan de systemen voor het analyseren van verdachte situaties verwarren, indien deze worden gebruikt.
• CVE-2026-49423. Mogelijke kernel-panic bij het ontvangen van gegevens via kTLS met TLS 1.2 CBC-opnamen. Om het probleem te vermijden, kan men kern.ipc.tls.enable=0 of kern.ipc.tls.cbc_enable=0 instellen.
• CVE-2026-49424. Gegevenslek (104 bytes) uit de kernelstack bij het aanroepen van linux-compat waitid(), dat zich niet herinnert om het ongebruikte deel van de linux-structuur siginfo_t te resetten bij het overbrengen van gegevens uit FreeBSD. In reguliere GENERIC-kernels is de linux-emulator standaard uitgeschakeld en wordt deze alleen ingeschakeld door handmatig een module te laden.
• CVE-2026-49425. Evenzo vergeet de 32-bits kevent om de 32-bits structuur te resetten voordat deze gegevens uit de native 64-bits structuur overbrengt, wat leidt tot een gegevenslek uit de stack. Standaard is de 32-bits compatibiliteit in de kernel ingeschakeld (geen module).
• CVE-2026-58081, CVE-2026-58082. Kwetsbaarheden in iconv. Eerste: veel van zijn modules controleren de grootte van de door de oproepende code opgegeven uitvoerbuffer niet voordat ze het resultaat erin schrijven (vermeld zijn HZ, UTF-7, VIQR, ZW). Tweede: de ISO-2022-module gebruikt een buffer van 6 bytes in de stack voor interne bewerkingen, maar er kan tot 10 bytes in worden geschreven, wat de stack beschadigt. Het resultaat is dat het uitvoeren van iconv voor conversie naar of van een van de genoemde encoderingen met niet-gecontroleerde invoer kan leiden tot bufferoverflows.

Bron: linux.org.ru