Farlige sårbarheter i Linux-kjernen, KVM, Exim, Unbound, Ghostscript og Suricata

Flere nylig oppdagede sårbarheter som gir root-tilgang i systemet eller muliggjør ekstern kjøring av kode.

• Informasjon er blitt avslørt om fire sårbarheter i Linux-kjernen som gir en ikke-privilegert lokal bruker mulighet til å kjøre kode med root-rettigheter. Problemene er blitt løst i oppdateringene av Linux-kjernen 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 og 7.2.4. Det er utviklet eksploitere for alle sårbarheter, hvis drift er demonstrert i Fedora 43/44 og Ubuntu 24.04. For å utnytte de tre første sårbarhetene kreves det mulighet for å opprette brukerromsnavn (user namespace) eller ha CAP_NET_ADMIN-rettigheter, samt aktivering av støtte for subsystemer der sårbarhetene er til stede (AH6/XFRM, TUN, PPPoE og SCTP).
  • DirtyAH6 (CVE-2026-80844, eksploit) — buffer-overløp i IPsec AH (Authentication Header)-behandleren, som oppstår på grunn av manglende validering av verdiene angitt i headeren. I tillegg til lokal utnyttelse av angrepet, kan sårbarheten teoretisk utnyttes eksternt under spesifikke forhold.
  • TUNderflow (CVE-2026-81000, eksploit) — skriving utenfor den tildelte bufferen ved parsing av feilformatert TUN-pakke.
  • PPPoEject (CVE-2026-68121, eksploit) — tilgang til allerede frigjort minne i PPPoE-driveren.
  • DiagSpill (CVE-2026-74469, eksploit) — buffer-overløp i diagnostiske verktøy for SCTP-protokollen. I tillegg til lokal utnyttelse av angrepet kan sårbarheten teoretisk utnyttes eksternt under spesifikke forhold.
• Sårbarhet (CVE-2026-89775) i hypervisoren KVM, som gir tilgang til vertsmiljøet fra gjestesystemet. Med tilgang for ikke-privilegerte brukere til enheten /dev/kvm (som standard i RHEL) kan sårbarheten også brukes til å heve sine privilegier i systemet. Problemet oppstår kun på systemer med ARM64-arkitektur når støtte for innskuddsvirtualisering er aktivert. Sårbarheten skyldes at prosedyrer for beregning av størrelse returnerte '0', og antydet at størrelsen var ukjent, mens funksjonen for å frigjøre minnesider håndterte '0' som en faktisk verdi og renset ikke minnesidene.
• I utgivelsen av post serveren Exim 4.100.1 har fjernet 4 sårbarheder: læsning af data uden for bufferområdet og brug af uinitialiserede data i implementeringen af Proxy-protokollen; adgang til hukommelse efter frigivelse i TLS-on-connect med GnuTLS; indsættelse af meddelelser i en andens strøm (SMTP smuggling).
• I pakken Ghostscript 10.08.0 er der løst en sårbarhed (CVE-2026-39919), som blev forårsaget af buffer-overløb i koden til behandling af JPEG 2000-formatet ved angivelse af ugyldige værdier for sub-sampling. Problemet kan føre til udførelse af kode, når Ghostscript behandler specielt designede PDF-filer med integrerede billeder i JPEG 2000-format. Risikoen ved sårbarheden forværres, da Ghostscript kaldes under oprettelse af miniaturebilleder på skrivebordet, ved baggrundsindeksering af data og ved konvertering af billeder. For at kunne udføre et vellykket angreb er det ofte tilstrækkeligt blot at indlæse en fil med et exploit eller se en mappe med den i Nautilus. Sårbarhederne i Ghostscript kan også udnyttes via billedebehandlere baseret på ImageMagick og GraphicsMagick ved at videregive en JPEG- eller PNG-fil, hvor koden i stedet for billedet findes i PostScript (sådan en fil vil blive behandlet i Ghostscript, da MIME-typen genkendes ud fra indholdet og ikke er baseret på filtypen). Problemet er løst i Ghostscript 10.08.0.
• I DNS-serveren Unbound 1.26.1 er der fjernet 9 sårbarheder, herunder problemet CVE-2026-81642, der fører til buffer-overløb ved behandling af bestemte DNSKEY. Sårbarheden kan bruges til fjernudførelse af kode på serveren. Desuden er der også fjernet: buffer-overløb i koden til arbejde med DNSSEC, datakorruption i hukommelsen i CNAME-behandleren, adgang til allerede frigivet hukommelse i koden til DoQ og DoH.
• I systemet til opdagelse og forebyggelse af angreb Suricata 8.0.7 er der fjernet 67 sårbarheder, hvoraf to er markeret som kritiske. Oplysninger om problemerne er endnu ikke blevet offentliggjort, men ifølge niveauet af fare tillader sårbarhederne fjernudførelse af kode ved behandling af særligt designet trafik.

Kilde: opennet.ru