Diversas vulnerabilidades críticas recém-identificadas que permitem acesso root ao sistema ou execução remota de código.
- 7 vulnerabilidades no sistema de gerenciamento de containers LXD e 11 vulnerabilidades no fork Incus. Algumas vulnerabilidades, categorizadas como críticas, permitem que usuários não privilegiados locais modifiquem quaisquer arquivos no sistema ou executem seu código com privilégios de root. As vulnerabilidades foram corrigidas nas versões LXD 6.9, 5.21.8, 5.0.10 e 4.0.14, assim como no Incus 7.5.1. Os problemas foram causados pela manipulação inadequada de caminhos de arquivos, problemas com links simbólicos e falta de validação de entrada no código para migração e backup de ambientes isolados ou para carregamento de imagens de sistema:
- CVE-2026-85526 — reescrita de arquivos arbitrários no sistema ao processar um backup que contém em subvolumes[].path um caminho de ponto de montagem como "..\/..\/..\/..\/etc\/cron.d".
- CVE-2026-85185 — gravação e exclusão de arquivos arbitrários ao especificar em nomes de subvolume btrfs caminhos com "..\/".
- CVE-2026-87799 — gravação em um arquivo arbitrário no sistema por meio da substituição de links simbólicos durante a migração máquinas virtuais.
- CVE-2026-87798 — saída dos limites do diretório base da máquina virtual durante a transferência recursiva de arquivos.
- CVE-2026-86334 — saída dos limites do diretório base ao exportar uma imagem de fora servidor.
- CVE-2026-86335 — acesso a imagens privadas de máquinas virtuais de outros usuários.
- CVE-2026-97335 — contorno das restrições de acesso aos projetos.
- Vulnerabilidades no sistema de pacotes autossuficientes Flatpak. Problemas corrigidos na versão Flatpak 1.18.1. Entre as vulnerabilidades mais perigosas:
- CVE-2026-90616 — utilização de links simbólicos para contornar a isolamento sandbox e obter acesso completo ao sistema de arquivos do host;
- Elevação de privilégios ao usuário root através da substituição de link simbólico (CVE não atribuído);
- CVE-2026-9627 — gravação de arquivos com privilégios de root através da manipulação de caminhos de arquivos;
- CVE-2026-96275 — gravação de arquivos com privilégios de root através da manipulação de links simbólicos;
- CVE-2026-96276 — gravação de arquivos com privilégios de root através da substituição de "..\/" em caminhos de arquivos ao executar o comando "flatpak build-init";
- CVE-2026-96279 — leitura de arquivos arbitrários no sistema principal através da criação de um link físico ao extrair um arquivo OCI.
- CVE-2026-92162 — acesso a arquivos fora do diretório base através da substituição de "..\/" nos parâmetros DeployAppstream.
- CVE-2026-96280 — estouro de buffer no manipulador de atualizações delta do OCI em sistemas de 32 bits.
- Duas vulnerabilidades críticas na plataforma de desenvolvimento colaborativo GitLab, que permitem a um usuário autenticado remoto executar seu código em servidor através da substituição de uma expressão regular especialmente formatada nas configurações CI\/CD. As vulnerabilidades estão presentes no parser de expressões regulares e são causadas pela duplicação de liberação de memória (CVE-2026-89078) e por um estouro de inteiro (CVE-2026-93577). Os problemas foram corrigidos nas versões 19.4.1, 19.3.3, 19.2.7.
- Duas vulnerabilidades críticas no protocolo de rede utilizado em nós da plataforma descentralizada de desenvolvimento colaborativo Radicle. A primeira vulnerabilidade permite visualizar dados trocados entre os nós através da monitoração do tráfego. A segunda vulnerabilidade possibilita falsificar o identificador do nó e acessar repositórios privados. Em combinação, as vulnerabilidades permitem extrair o conteúdo de quaisquer repositórios dos nós Radicle.
- Vulnerabilidade no kernel Linux, causada pelo acesso a memória já liberada (use-after-free) devido a uma condição de corrida no módulo espintcp, utilizado para encapsular o protocolo ESP (Encapsulating Security Payload) em TCP (ESP-in-TCP, RFC 8229). O problema foi corrigido no kernel em fevereiro, antes do lançamento da versão 7.0. Há alguns dias, foi criado um exploit funcional para a vulnerabilidade, permitindo a execução de código com privilégios de root no sistema. A eficácia do exploit foi demonstrada no CentOS Stream 9 e no Ubuntu 26.04 LTS.
- Vulnerabilidade crítica (CVE-2026-87902) no sistema de gerenciamento de conteúdo WordPress, que permite a um visitante não autenticado do site executar código PHP no servidor, manipulando modelos de página, caso o arquivo pearcmd.php esteja disponível no servidor (disponível na imagem docker oficial e na configuração padrão do cPanel). O problema também se manifesta em um fork do ClassicPress. A vulnerabilidade está sendo ativamente explorada por invasores para assumir o controle dos sites. A correção foi lançada para 25 ramificações do WordPress, desde a versão 7.1.2 até a 4.7.37.
- 7 vulnerabilidades no OpenVPN, incluindo problemas causados pela liberação dupla de memória (CVE-2026-84471), escape incorreto de caracteres especiais ao iniciar o interpretador de comandos (CVE-2026-84256) e estouro de buffer de um byte ao analisar opções DHCP (CVE-2026-81738). Os problemas foram corrigidos na versão OpenVPN 2.6.23.
- 8 vulnerabilidades no pacote NTFS-3G, potencialmente permitindo a execução de código com privilégios de root ao processar partições ou imagens de disco especialmente formatadas com o sistema de arquivos NTFS. Todas as vulnerabilidades foram causadas por estouro de buffer. Os problemas foram corrigidos na versão NTFS-3G 2026.9.18.
- Vulnerabilidade no FreeRDP, permitindo estabelecer uma conexão RDP com servidor sem autenticação. O problema foi corrigido na versão FreeRDP 3.31.0.
- Vulnerabilidade (CVE-2026-87766) na ferramenta para criar ambientes isolados Bubblewrap, permitindo gravar arquivos fora do ambiente sandbox durante a configuração do contêiner por meio de manipulações com links simbólicos.
- Publicado um exploit para uma vulnerabilidade no servidor de impressão CUPS, permitindo a um usuário local obter direitos de root no sistema através da substituição do arquivo /etc/cups/cups-files.conf (ao especificar esse arquivo como URI da impressora) e substituição da chamada cups-exec. A atualização do CUPS ainda não foi lançada.
- Acesso a memória já liberada (CVE-2026-42007) no servidor IMAP Dovecot, permitindo que um usuário autenticado execute seu código no servidor através do uso de um script Sieve especialmente formatado. A vulnerabilidade foi corrigida na versão Dovecot 2.4.5.
Fonte: opennet.ru
