Em 30 de junho de 2026, foram publicadas notificações de correção para 13 novas vulnerabilidades no sistema operacional FreeBSD.
- CVE-2026-49418. Um usuário com acesso a um dispositivo que possui uma interface memory-mapped pode provocar um double-free/use-after-free no kernel. Isso pode levar a uma elevação de privilégios.
- CVE-2026-49419. (apenas FreeBSD 15+) Redução dupla do refcount do jail atual ao tratar erro de acesso a outro jail por meio de um descritor de jail (introduzido no FreeBSD 15), resultando em uma liberação não planejada da estrutura de controle do jail e subsequentes use-after-free onde quer que ela seja utilizada. Teoricamente, isso pode levar a uma elevação de privilégios.
- CVE-2026-49415. Ao executar um programa setuid, os direitos de acesso à sua memória são configurados um pouco mais tarde do que a memória é inicializada, permitindo que, por um curto período de tempo, alguém acesse e edite essa memória sem ter os privilégios necessários, através do procfs ou linprocfs. Na maioria dos sistemas, procfs, e ainda mais a libprocfs, não estão montados, então o problema provavelmente afeta poucas pessoas.
- CVE-2026-49429, CVE-2026-49430, CVE-2026-49431. (apenas para sistemas com ZFS) As duas primeiras falhas estão relacionadas à alocação de memória de tamanho incorreto: um buffer do tamanho passado como um número de 32 bits é alocado, e depois dados do tamanho real são gravados nele, levando a um estouro, se o tamanho real do buffer for maior que 4GB. Ambas só podem ser provocadas por root ou um usuário com privilégios explicitamente adicionados para operações vulneráveis. A terceira falha pode ser explorada por qualquer um, permitindo que qualquer pessoa atribua a um dataset a flag “$hasrecvd” usando ZFS_IOC_SET_PROP (quão perigoso isso é, não está claro a partir do anúncio).
- CVE-2026-49420. A falta de verificação adequada do tamanho do pacote antes de gravá-lo em um buffer de tamanho fixo na pilha no módulo libalias de suporte ao RTSP permite a possibilidade de um estouro de pilha ou do núcleo remoto e sem autorização (para ipfw nat), ou do processo natd (que geralmente é executado como root). Isso pode levar potencialmente a RCE. A vulnerabilidade pode ser provocada por um host malicioso dentro da rede local por trás do NAT implementado através do libalias, que está manipulando pacotes RTSP maliciosos. Assim, a vulnerabilidade não afeta hosts nos quais o NAT não está em execução de alguma forma. Além disso, o natd deixará de ser vulnerável se a linha libalias_smedia.so for removida do /etc/libalias.conf e o natd for reiniciado, e o ipfw nat não será vulnerável sem o carregamento do módulo alias_smedia.ko (não está especificado se ele pode carregá-lo automaticamente). Além disso, o manipulador vulnerável apenas analisa pacotes TCP/UDP que saem, e que têm uma das portas 554 ou 7070 — se tais pacotes forem bloqueados pelo firewall antes de chegarem ao NAT, a vulnerabilidade também desaparecerá.
- CVE-2026-49421. unlinkat() e funlinkat() não consideravam a flag AT_RESOLVE_BENEATH, que deveria proibir que, ao percorrer este caminho, se saísse dos limites do diretório especificado pelo argumento dirfd. Assim, era permitido excluir arquivos fora do diretório quando o código chamador desejava impor essa restrição.
- CVE-2026-49422. Condição de corrida no módulo tcp_rack.ko (por padrão, ele não está carregado). Para cada socket TCP, é possível escolher individualmente a pilha TCP pela qual ele funcionará, inclusive alternando-as em tempo real. Se for feito assim: 1) em um socket com tcp_rack, chamamos setsockopt() específico do rack, 2) em outro thread, conseguimos rapidamente alternar a pilha TCP do rack para outra e voltar para o rack no momento certo, o manipulador rack setsockopt() funcionará com o antigo (antes da troca) endereço da estrutura de estado do socket, o que leva a corrupção de memória e possível elevação de privilégios. Apenas sistemas onde o tcp_rack.ko está claramente carregado são afetados, isso não é o padrão.
- CVE-2026-49427, CVE-2026-49428. As largepages POSIX (shm_create_largepage) não eram marcadas de forma adequada como utilizadas durante a alocação, o que poderia levar à sua liberação incorreta sob várias circunstâncias (estão mencionadas chamadas sendfile com a flag SF_NOCACHE, open com a flag O_TRUNC e fspacectl) e subsequente use-after-free com as consequências habituais.
- CVE-2026-49426. Logs de auditoria (4) incorretos sobre chamadas de sistema remotas via ptrace(PT_SC_REMOTE). Podem confundir sistemas de análise de situações suspeitas, caso estejam em uso.
- CVE-2026-49423. Possível kernel-panic ao receber dados via kTLS envolvendo registros TLS 1.2 CBC. Para evitar o problema, pode-se definir kern.ipc.tls.enable=0 ou kern.ipc.tls.cbc_enable=0.
- CVE-2026-49424. Vazamento de dados (104 bytes) da pilha do kernel ao chamar linux-compat waitid(), que esquece de zerar a parte não utilizada da estrutura siginfo_t do linux ao transferir dados dela para o FreeBSD. Em núcleos GENERIC normais, o emulador linux está desativado por padrão e é ativado apenas com a carga manual do módulo.
- CVE-2026-49425. Similar ao anterior, o kevent de 32 bits esquece de zerar a estrutura de 32 bits antes de transferir dados dela para a nativa de 64 bits, resultando em vazamento de dados da pilha. Por padrão, a compatibilidade de 32 bits no kernel está habilitada (não como módulo).
- CVE-2026-58081, CVE-2026-58082. Vulnerabilidades no iconv. A primeira: muitos de seus módulos não verificam o tamanho do buffer de saída fornecido pelo código chamador antes de gravar o resultado nele (mencionados HZ, UTF-7, VIQR, ZW). A segunda: o módulo ISO-2022 utiliza um buffer de 6 bytes na pilha para operações internas, mas pode gravar até 10 bytes, corrompendo a pilha. Como resultado, executar iconv para conversão para ou de uma das codificações mencionadas com entradas não verificadas pode estar sujeito a estouros de buffer.
Fonte: linux.org.ru
