20. maja 2026. godine, programeri FreeBSD-a objavili su ispravljanje sedam novih ranjivosti u sistemu. Nisu sve podjednako opasne, ali postoje i vrlo neugodna.
CVE-2026-45251 — use-after-free u select-sličnim sistemskim pozivima, ako su u njihovoj listi čekanja prisutni deskriptori procesa (u FreeBSD 15 — još novi deskriptori jail-ova), a ti deskriptori su zatvoreni u drugom thread-u dok je čekajući sistemski poziv još uvek bio u čekanju. Sudeći prema ovom commit-u, takođe su pogođeni deskriptori povezani s netmap-om (drajverom za ubrzan direktan pristup mrežnoj kartici), ali o tome nema zvaničnih informacija. Deskriptori procesa su se pojavili u FreeBSD 9, pa ranjivost verovatno postoji od tada. U zvaničnom saopštenju navedeno je da ranjivost omogućava sticanje privilegija superkorisnika. Nema mogućnosti da se ona neutralizuje bez patch-a/akutalizacije.
CVE-2026-45250 — netačno izračunavanje veličine bafera i kasnija zapisivanje van bafera na steku u sistemskom pozivu setcred, pri čemu, iako setcred zahteva root privilegije, oštećenje steka se dešava pre nego što su privilegije proverene i tako postaje dostupno svima. Ovaj sistemski poziv se pojavio u FreeBSD 14.3 (tj. ranije verzije nisu pogođene) i omogućava postavljanje svih identifikatora korisnika i grupa trenutnog procesa u jednom pozivu, umesto kombinacija setuid+setgid+setgroups i slično. Ranjivost omogućava izvršavanje zlonamernog koda u kontekstu jezgra. Nema mogućnosti da se ona neutralizuje bez patch-a/akutalizacije.
CVE-2026-45252 — nedostatak provere prisutnosti završnog nula pre kopiranja niza dobijenog od fuse-demon-a u novi bafer. Ipak, postoji provera na maksimalnu veličinu kopiranja, tako da više od 253 dodatnih bajta iz jezgrenog memorijskog prostora ne može biti pročitano. Takođe, može se zapisivati do 250 bajta u „nealokirani prostor heap-a jezgra”. Po default-u, u FreeBSD-u je zabranjeno montiranje fajl sistema od strane ne-root korisnika, što znači da za stavljanje zlonamernog fuse-demon-a u jezgro treba biti root. Međutim, ako je sysctl vfs.usermount=1 — sistem postaje ranjiv i za obične korisnike. Takođe treba uzeti u obzir opasnost fuse-demon-a u jail-u, gde može biti i root (ali po default-u je to takođe zabranjeno).
CVE-2026-45253 — pri uporabi ptrace je bila možnost zagnati v odprtem procesu sistemski klic z napačno številko, kar je privedlo do izvajanja v jedru kode, ki ni bila predvidena pri zagonu kot sistemski klic, s potencialno slabo posledico. Če je nastavljeno security.bsd.unprivileged_proc_debug=0 (kar je dobra praksa za strežnike v vsakem primeru, sistemski installer pa celo predlaga, da to naredite opcijsko), uporabniški in jailed procesi ne bodo mogli uporabljati ptrace in tako bo ranljivost ostala dostopna le root-u.
CVE-2026-45255 — injekcija shell ukazov z root pravicami v bsdinstall/bsdconfig preko imen zlonamernih brezžičnih omrežij, ki tam niso bila zakodirana, ob ogledu njihovega seznama. Da se s to ranljivostjo ne bi srečali, je dovolj, da ne gledate seznama brezžičnih omrežij iz bsdinstall/bsdconfig.
CVE-2026-39461, CVE-2026-45254 — ranljivosti v knjižnici libcasper (ne v jedru). Knjižnica je namenjena varnemu nastavljivemu zagotavljanju storitev procesom, ki so v peskovniku. Ena od ranljivosti je povezana z prekoračitvijo meje pomnilnika na območju sklada in poškodbo sklada z organizacijo v tej knjižnici datotečnih descriptorjev z velikimi številkami (računala se je na številke do 1024 — privzeta omejitev struktur za sistemski klic select). Druga ranljivost je možnost odstranjevanja na imposanih seznamih omejitev (ideologija te knjižnice je, da enkrat naložene omejitve na proces lahko le povečujejo) cap_net.
Popravljene verzije sistema imajo številke: 14.3-RELEASE-p14, 14.4-RELEASE-p5 in 15.0-RELEASE-p9. Prav tako je pomembno omeniti, da je bil FreeBSD 13.5 nedavno umaknjen iz podpore — 30. aprila 2026, in za njega (in za 13.x vejo nasploh) uradnih popravkov že ni. Vendar pa, če vam iz kakršnega koli razloga trenutno ni jasno, da se preklopite na 14.x izdajo, so popravki za različico 14.3 na splošno primerni tudi za izvorne kode 13.5, medtem ko za 13. vejo CVE-2026-45250 ni relevantno zaradi odsotnosti setcred().
Izvor: linux.org.ru
