Diversas vulnerabilidades perigosas descobertas recentemente permitem acesso root a um sistema ou execução remota de código.
- Foram divulgados detalhes de quatro vulnerabilidades no kernel. Linux, permitindo que um usuário local sem privilégios execute código com privilégios de root. Os problemas foram corrigidos em atualizações do kernel. Linux 5.10.270, 5.15.221, 6.1.188, 6.6.157, 6.12.109, 6.18.50 e 7.2.4. Exploits foram preparados para todas as vulnerabilidades e demonstraram funcionar no Fedora 43/44 e Ubuntu 24.04. A exploração das três primeiras vulnerabilidades requer a capacidade de criar namespaces de usuário ou a presença de direitos CAP_NET_ADMIN, bem como a ativação do suporte para os subsistemas nos quais as vulnerabilidades estão presentes (AH6/XFRM, TUN, PPPoE e SCTP).
- DirtyAH6 (CVE-2026-80844, exploit) é uma vulnerabilidade de estouro de buffer no manipulador de cabeçalho de autenticação (AH) do IPsec, causada pela falta de validação dos valores do cabeçalho. Além de um ataque local, essa vulnerabilidade poderia, teoricamente, ser explorada remotamente sob condições específicas.
- TUNderflow (CVE-2026-81000, exploit) - escrita fora dos limites ao analisar um pacote TUN malformado.
- PPPoEject (CVE-2026-68121, exploit) - acesso à memória já liberada no driver PPPoE.
- O DiagSpill (CVE-2026-74469, exploit) é uma vulnerabilidade de estouro de buffer em ferramentas de diagnóstico do protocolo SCTP. Além de um ataque local, a vulnerabilidade poderia, teoricamente, ser explorada remotamente sob condições específicas.
- Uma vulnerabilidade (CVE-2026-89775) no hipervisor KVM permite o acesso ao ambiente do host a partir de um sistema convidado. Se usuários sem privilégios tiverem acesso ao dispositivo /dev/kvm (por padrão no RHEL), a vulnerabilidade também pode ser explorada para elevar seus privilégios. O problema afeta apenas sistemas com arquitetura ARM64 e suporte à virtualização aninhada habilitado. A vulnerabilidade é causada pela rotina de cálculo de tamanho retornar "0", o que implica um tamanho desconhecido, e pela função de desalocação de páginas de memória tratar "0" como um valor real e falhar na desalocação das páginas de memória.
- O Exim 4.100.1 corrige quatro vulnerabilidades: leitura e uso fora dos limites de dados não inicializados na implementação do protocolo Proxy; acesso após liberação em TLS-on-connect ao usar GnuTLS; e substituição de mensagens em um fluxo externo (contrabando SMTP).
- O Ghostscript 10.08.0 corrige uma vulnerabilidade (CVE-2026-39919) causada por um estouro de buffer no código de análise de JPEG 2000 quando valores de subamostragem incorretos são especificados. Esse problema pode levar à execução de código quando o Ghostscript processa arquivos PDF especialmente criados com imagens JPEG 2000 incorporadas. A vulnerabilidade é agravada pelo fato de o Ghostscript ser invocado durante a geração de miniaturas na área de trabalho, indexação de dados em segundo plano e conversão de imagens. Em muitos casos, basta fazer o upload de um arquivo explorado ou visualizar seu diretório no Nautilus para que o ataque seja bem-sucedido. Vulnerabilidades do Ghostscript também podem ser exploradas por meio de manipuladores de imagens baseados nos pacotes ImageMagick e GraphicsMagick, passando a eles um arquivo JPEG ou PNG contendo código PostScript em vez de uma imagem (tal arquivo será processado pelo Ghostscript, pois o tipo MIME é determinado pelo conteúdo, e não pela extensão). O problema foi corrigido no Ghostscript 10.08.0.
- O servidor DNS Unbound 1.26.1 corrige nove vulnerabilidades, incluindo a CVE-2026-81642, que causa um estouro de buffer ao processar determinadas chaves DNSKEY. Essa vulnerabilidade pode ser explorada para execução remota de código no servidor. Também foram corrigidos um estouro de buffer no tratamento de DNSSEC, corrupção de memória no manipulador de CNAME e uma vulnerabilidade de uso após liberação (use-after-free) no código DoQ e DoH.
- O Suricata 8.0.7, um sistema de segurança para detecção e prevenção de intrusões, corrigiu 67 vulnerabilidades, duas das quais foram classificadas como críticas. Os detalhes dos problemas ainda não foram divulgados, mas, a julgar pelo nível de gravidade, as vulnerabilidades permitem a execução remota de código ao processar tráfego especialmente criado.
Fonte: opennet.ru
