Një dobësi (CVE-2026-4747) është rregulluar në FreeBSD. Kjo dobësi lejon ekzekutimin e kodit në nivel kernel duke dërguar paketa rrjeti në një server NFS. Problemi ndodh kur përdoret moduli kgssapi.ko, i cili implementon API-në RPCSEC_GSS në kernel. Përveç kernelit, dobësia ndikon në aplikacionet e hapësirës së përdoruesit që përdorin bibliotekën librpcgss_sec dhe kryejnë funksione të serverit RPC. Aplikacione të tilla, të cilat nuk janë pjesë e sistemit bazë të FreeBSD, mund të sulmohen gjithashtu duke dërguar paketa rrjeti.
Problemi ekziston në zbatimin e API-t GSS (Generic Security Services), i cili lejon krijimin e kanaleve të komunikimit të sigurta dhe të autentifikuara me serverRPCSEC_GSS përdoret në serverat NFS për të mbrojtur aksesin në Sun RPC duke përdorur autentifikimin e bazuar në Kerberos dhe trafikun e enkriptuar midis serverit dhe klientit. Problemi shkaktohet nga të dhënat e paketave që kopjohen në një buffer të fiksuar gjatë verifikimit të nënshkrimit pa verifikimin e duhur të madhësisë. Gabimi ndodh para autentifikimit, por kërkon aftësinë për të dërguar paketa rrjeti në serverin NFS. Një shfrytëzim është i disponueshëm që lejon ekzekutimin në distancë të /bin/sh me privilegje root.
Dobësia u zbulua nga një punonjës i Anthropic duke përdorur asistentin Claude AI. Veçanërisht, studiues të palëve të treta nga ekipi i Kalifornisë përdorën Claude për të shkruar një shfrytëzim funksional, duke përdorur vetëm raportin e përgjithshëm të dobësisë të publikuar nga projekti FreeBSD si informacion. Përveç shfrytëzimit të drejtpërdrejtë të dobësisë, modeli i IA-së vendosi një makinë virtuale me konfigurimin e cenueshëm, konfiguroi debugging në distancë dhe leximin e crash dump të kernel, dhe gjithashtu ekzekutoi /bin/sh brenda shfrytëzimit pasi arriti ekzekutimin e kodit në nivel kernel. Shfrytëzimi mori katër orë kohë nga koha e Claude për ta krijuar.
Studiuesit që krijuan shfrytëzimin shkuan më tej dhe vazhduan eksperimentet e tyre, duke përdorur Claude për të identifikuar dobësitë në Vim dhe Emacs që mund të lejonin ekzekutimin e kodit gjatë hapjes së skedarëve të krijuar posaçërisht në këta redaktues. Çuditërisht, kërkesat e modelit u përmblodhën në një deklaratë të thjeshtë problemi, siç është "gjej një dobësi zero-ditore në Vim që ndodh kur hapet një skedar". Në fund të fundit, modeli i Claude identifikoi me sukses dobësitë e panjohura më parë.
Një dobësi në Vim (CVE-2026-34714) shkaktohet nga një gabim në trajtimin e opsionit të tabpanel në modalitetin parazgjedhur modeline (":set modeline"), i cili lejon specifikimin e opsioneve të redaktimit në skedarin që përpunohet. Siç është projektuar nga zhvilluesit e Vim, modeline lejon që të caktohet vetëm një numër i kufizuar opsionesh, dhe shprehjet në këto opsione ekzekutohen në një modalitet sandbox, i cili lejon vetëm operacionet më të thjeshta dhe më të sigurta.
Opsioni i tabpanel nuk e kishte flamurin P_MLE të vendosur, duke lejuar që shprehja %{expr} të përdoret pa aktivizuar modalitetin modelineexpr. Për të anashkaluar izolimin e sandbox, u shfrytëzua një e metë në funksionin autocmd_add(). Funksionit i mungonin kontrollet e duhura të sigurisë kur lidhej një veprim me ngjarjen SafeStateAgain, duke lejuar që komanda të ekzekutohej pas daljes nga izolimi i sandbox. Dobësia u rregullua në Vim v9.2.0272. Një shembull i një rreshti që ekzekuton programin "id" dhe drejton daljen në skedarin "/tmp/calif-vim-rce-poc": /* vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{'event'\:'SafeStateAgain','pattern'\:'*','cmd'\:'!id>/tmp/calif-vim-rce-poc','once'\:1}])%}: */
Një dobësi në Emacs shkaktohet nga përpunimi automatik i përmbajtjes së direktorisë .git/ kur ajo ndodhet në të njëjtën direktori me skedarin që po hapet. Në këtë rast, kur hapet një skedar, Emacs ekzekuton komandat "git ls-files" dhe "git status", të ekzekutuara në kontekstin e përmbajtjes së ".git/". Për të ekzekutuar kodin, thjesht hapni një skedar në Emacs nga një direktori që përmban një nën-direktorium .git/ me një skedar konfigurimi "config" që përfshin opsionin "core.fsmonitor" me komandën e specifikuar të sulmuesit për t'u ekzekutuar. Mirëmbajtësit e GNU Emacs kanë refuzuar të rregullojnë dobësinë, duke përmendur një problem specifik të Git.
Për më tepër, mund të vërehen dy dobësi të tjera:
- CVE-2026-33150 - Një dobësi "use-after-free" në trajtuesin io_uring të bibliotekës libfuse potencialisht lejon ekzekutimin e kodit kur mbarojnë burimet e disponueshme kur punohet me sisteme skedarësh të implementuara nëpërmjet FUSE (Sistemi i skedarëve në hapësirën e përdoruesit).
- CVE-2026-34743 — Një mbingarkesë buffer-i në zbatimin e funksionit lzma_index_append() nga biblioteka liblzma. Problemi shfaqet kur përdoret funksioni lzma_index_decoder() për të deshifruar një indeks që nuk përmban hyrje, duke rezultuar në ndarjen e një buffer-i më të vogël se sa është e nevojshme. Vërehet se API-ja e nivelit të ulët lzma_index* përdoret jashtëzakonisht rrallë në aplikacione dhe nuk ka gjasa që aplikacionet që plotësojnë kushtet e nevojshme për trajtimin e indeksit të shfrytëzohen. Dobësia është rregulluar në XZ Utils 5.8.3.
Burimi: opennet.ru
