No dia 20 de maio de 2026, os desenvolvedores do FreeBSD anunciaram a correção de sete novas vulnerabilidades no sistema. Nem todas são igualmente perigosas, mas algumas são bastante preocupantes.
CVE-2026-45251 — use-after-free em chamadas de sistema semelhantes ao select, se houver descritores de processos em sua lista de espera (no FreeBSD 15 — ainda novos descritores de jail), e esses descritores foram fechados em outra thread enquanto a chamada de sistema ainda estava em espera. Segundo este commit, também são afetados descritores relacionados ao netmap (driver de acesso direto acelerado ao adaptador de rede), mas não há informações oficiais sobre isso. Descritores de processos apareceram no FreeBSD 9, então a vulnerabilidade provavelmente existe desde então. A declaração oficial indica que a vulnerabilidade permite obter privilégios de superusuário. Não há como neutralizá-la sem um patch / atualização.
CVE-2026-45250 — cálculo incorreto do tamanho do buffer e subsequente gravação fora do buffer na pilha na chamada de sistema setcred, sendo que, apesar de setcred exigir privilégios de root, a corrupção da pilha ocorre antes que os privilégios sejam verificados e, assim, está disponível para todos. Esta chamada de sistema apareceu no FreeBSD 14.3 (ou seja, versões anteriores não são afetadas) e fornece um meio de estabelecer todos os identificadores de usuário e grupo do processo atual em 1 chamada, ao invés de combinações setuid + setgid + setgroups e similares. A vulnerabilidade permite a execução de código malicioso no contexto do núcleo. Não há como neutralizá-la sem um patch / atualização.
CVE-2026-45252 — falta de verificação da existência de um zero terminador antes de copiar uma string recebida do daemon fuse para um novo buffer. Contudo, há uma verificação sobre o tamanho máximo de cópia, e não é possível ler mais de 253 bytes a partir da memória do núcleo. Além disso, é possível gravar até 250 bytes no "unallocated kernel heap space". Por padrão, no FreeBSD, a montagem de sistemas de arquivos por usuários não root é proibida, portanto, para introduzir um daemon fuse malicioso ao núcleo, é necessário ser root. No entanto, se sysctl vfs.usermount=1 — o sistema se torna vulnerável até para usuários comuns. Também é importante considerar o perigo do daemon fuse em um jail, onde ele pode ser root (mas por padrão isso também é proibido).
CVE-2026-45253 — ao usar ptrace, havia a possibilidade de iniciar uma chamada de sistema em um processo depurado com um número incorreto, o que resultava na execução de código no kernel que não estava previsto para ser executado como chamada de sistema, com consequências potencialmente ruins. Se security.bsd.unprivileged_proc_debug=0 estiver configurado (o que é uma boa prática para servidores de qualquer forma, e o instalador do sistema até sugere isso como uma opção), então processos de usuários e jailed não poderão usar ptrace e, assim, a vulnerabilidade permanecerá acessível apenas ao root.
CVE-2026-45255 — injeção de comandos shell com privilégios de root no bsdinstall/bsdconfig através de nomes de redes sem fio maliciosas, que não foram devidamente escapadas, durante a visualização de sua lista. Para não encontrar esta vulnerabilidade, basta não visualizar a lista de redes sem fio no bsdinstall/bsdconfig.
CVE-2026-39461, CVE-2026-45254 — vulnerabilidades na biblioteca libcasper (não no kernel). A biblioteca é destinada a fornecer serviços configuráveis de forma segura a processos colocados em sandbox. Uma das vulnerabilidades está relacionada ao estouro de buffer na pilha e à corrupção da pilha ao organizar nessa biblioteca descritores de arquivos com números elevados (ela foi projetada para números até 1024 — o limite padrão de estruturas para a chamada de sistema select). A segunda vulnerabilidade — a possibilidade de remover listas de restrições impostas (a ideologia da biblioteca é que as restrições impostas a um processo podem apenas ser ampliadas) cap_net.
As versões corrigidas do sistema têm os números: 14.3-RELEASE-p14, 14.4-RELEASE-p5 e 15.0-RELEASE-p9. Também vale destacar para alguns um ponto importante: a versão FreeBSD 13.5 foi recentemente descontinuada — 30 de abril de 2026, e para ela (e para a ramificação 13.x em geral) não há mais correções oficiais. No entanto, se por algum motivo você não quiser apressar a transição para a versão 14.x, patches para a versão 14.3 são geralmente adequados também para a versão 13.5, e CVE-2026-45250 não é relevante para a ramificação 13 devido à ausência do setcred().
Fonte: linux.org.ru
