7 nye sårbarheter i FreeBSD

20. mai 2026 kunngjorde utviklerne av FreeBSD at de hadde rettet syv nye sårbarheter i systemet. Ikke alle er like farlige, men noen er svært ubehagelige.

CVE-2026-45251 — use-after-free i select-lignende systemkall, når deres venteliste inneholder prosessbeskrivelser (i FreeBSD 15 også nye jail-beskrivelser), og disse beskrivelsene ble stengt i en annen tråd mens det ventende systemkallet fortsatt var i ventemodus. Ifølge dette commitet, er også beskrivelser knyttet til netmap (driver for akselerert direkte tilgang til nettverksadapteren) berørt, men det finnes ingen offisiell informasjon om dette. Prosessbeskrivelser ble introdusert i FreeBSD 9, så sårbarheten har sannsynligvis eksistert siden den gang. I den offisielle uttalelsen er det påpekt at sårbarheten gir mulighet for å få superbrukertilgang. Det finnes ingen muligheter for å nøytralisere den uten patch/oppdatering.

CVE-2026-45250 — feilaktig beregning av bufferstørrelsen og etterfølgende skriving utenfor bufferet i systemkallet setcred, selv om setcred krever root-rettigheter, skjer stakkskader før rettighetene blir sjekket og er derfor tilgjengelig for alle. Dette systemkallet ble introdusert i FreeBSD 14.3 (så tidligere versjoner er ikke berørt) og gir en måte å sette alle bruker- og gruppeidentifikatorer for den nåværende prosessen med én kall, i stedet for kombinasjoner av setuid+setgid+setgroups og lignende. Sårbarheten gjør det mulig å utføre ondsinnet kode i kjernens kontekst. Det finnes ingen muligheter for å nøytralisere den uten patch/oppdatering.

CVE-2026-45252 — mangel på sjekk for avsluttende null før kopiering av en streng mottatt fra fuse-demonen til et nytt buffer. Imidlertid er det en sjekk for maksimal kopieringsstørrelse der, og det er ikke mulig å lese mer enn 253 ekstra byte fra kjernens minne. I tillegg kan man skrive opptil 250 byte i "unallocated kernel heap space". Som standard er det forbudt for ikke-root-brukere å montere filsystemer i freebsd, noe som betyr at for å kunne injisere en ondsinnet fuse-demon i kjernen må man være root. Men hvis sysctl vfs.usermount=1 activates, blir systemet sårbart også for vanlige brukere. Man må også ta hensyn til faren ved fuse-demonen i et jail, hvor den kan være root (men dette er også forbudt som standard).

CVE-2026-45253 — ved bruk av ptrace var det mulig å starte et systemanrop med et ugyldig nummer i den feilsøkte prosessen, noe som førte til at kode som ikke var ment å bli kjørt som systemanrop ble utført i kjernen, med potensielt dårligere konsekvenser. Hvis security.bsd.unprivileged_proc_debug=0 er satt (som er en god praksis for servere uansett, og installasjonsprogrammet tilbyr til og med å gjøre dette valgfritt), vil brukere og jailed prosesser ikke kunne bruke ptrace, og dermed vil sårbarheten bare være tilgjengelig for root-brukeren.

CVE-2026-45255 — injeksjon av shell-kommandoer med root-rettigheter i bsdinstall/bsdconfig gjennom navn på ondsinnede trådløse nettverk, som ikke ble rømt, når listen ble vist. For å unngå å støte på denne sårbarheten, er det tilstrekkelig å ikke se på listen over trådløse nettverk fra bsdinstall/bsdconfig.

CVE-2026-39461, CVE-2026-45254 — sårbarheter i libcasper-biblioteket (ikke i kjernen). Biblioteket er designet for sikker, tilpassbar levering av tjenester til prosesser plassert i sandkassen. En av sårbarhetene er relatert til bufferoverskridelse på stakken og skade på stakken ved å organisere filbeskrivelser med høye numre i dette biblioteket (det var designet for numre opp til 1024 - standardgrensen for strukturer for systemkallet select). Den andre sårbarheten er muligheten til å fjerne pålagte begrensningslister (ideologien i biblioteket tilsier at begrensninger som er pålagt en prosess bare kan strammes inn).

De korrigerte versjonene av systemet har numrene: 14.3-RELEASE-p14, 14.4-RELEASE-p5 og 15.0-RELEASE-p9. Det er også verdt å merke seg en viktig punkt for noen: FreeBSD 13.5 ble nylig avviklet fra støtte - 30. april 2026, og for den (og for 13.x-grenen generelt) finnes det ingen offisielle oppdateringer lenger. Men hvis du av en eller annen grunn ikke ønsker å skynde deg med overgang til 14.x-versjonen, passer patchene for versjon 14.3 stort sett også til kildene for 13.5, og CVE-2026-45250 er irrelevant for 13.x-grenen på grunn av fravær av setcred().

Kilde: linux.org.ru