Farliga sårbarheter i Apache httpd, FreeBSD, Linux-kärnan, OpenOffice, LibreOffice, CUPS, Next.js, wolfSSL, Flatpak, pcre2 och OpenSSL.

Nyligen upptäckta farliga sårbarheter som gör det möjligt att få root-åtkomst i systemet eller uppnå fjärrkörning av kod:

• 20 sårbarheter i Apache httpd, bland dem en buffer overflow i mod_vhost_alias (CVE-2026-63292), som potentiellt gör det möjligt att fjärrköra kod genom att skicka en HTTP-förfrågan med en stor HTTP-header Host. Sårbarheten uppträder när en plats-specifikator för namn anges i direktivet VirtualDocumentRoot och gränsen för LimitRequestFieldSize ökas.

  Bland andra farliga problem: åtkomst till minnet efter frigöring i mod_rewrite när man använder konstruktionen %{LA-U:HTTP:…} (CVE-2026-56154); buffer overflow i mod_charset_lite (CVE-2026-56153); åtkomst till redan frigjort minne i mod_http2 (CVE-2026-57941); buffer overflow vid analys av filvägar i Windows (CVE-2026-59685); heltalsöverflöd i mod_dav_fs (CVE-2026-93546). Problemen har åtgärdats i version 2.4.69.

• 9 sårbarheter i FreeBSD. Bland de identifierade problemen: buffer overflow som leder till körning av kod på kärnnivå vid manipulation med systemanropet semop (CVE-2026-58098); höjning av privilegier på grund av åtkomst till minne efter frigöring i kqueue (CVE-2026-58099); överskridande av rotkatalogen i det isolerade jail-miljön (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); kärnkrash genom att skicka ett särskilt format nätverkspaket när KTLS är aktiverat (CVE-2026-101302); kringgå mekanismer för nätverksisolering i jail (CVE-2026-101303). Sårbarheterna har åtgärdats i uppdateringarna FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 och 14.4-RELEASE-p10.
• 6 sårbarheter i LibreOffice, som vid öppning av speciellt utformade dokument leder till körning av kod (CVE-2026-63277, exploiter), skrivning till godtyckliga filer (CVE-2026-63266) eller läckage av innehåll från lokala filer (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Problemen har åtgärdats i LibreOffice 26.2.5 och 26.8.0.
• Sårbarhet (CVE-2026-59265, exploiter) i Apache OpenOffice, som leder till körning av kod vid öppning av ett särskilt utformat dokument på grund av ett fel i integrationen med Java. Problemet kommer att åtgärdas i version 4.1.17, som nu är under tester för release kandidater.
• Sårbarheter i servern CUPS-säkerheter. För närvarande har endast information om 14 problem med en säkerhetsnivå lägre än 7 (CVSS) offentliggjorts, och en lista med mer kritiska problem kommer att publiceras efter att embargot upphört, vilket ger tid att göra korrigeringar i distributionerna. De mest allvarliga av de avslöjade sårbarheterna tillåter privilegiegörande (CVE har inte tilldelats) och fjärrkörning av egen kod med lp-användarrättigheter (CVE-2026-55453) när man kontaktar en IPP-skrivare kontrollerad av en angripare. Problemen har åtgärdats i CUPS version 2.4.20.
• En sårbarhet (CVE-2026-80521, exploiter) i Linux-kärnan som möjliggör åtkomst till värdsystemet från en isolerad behållare. Sårbarheten orsakas av ett tävlingsläge i implementeringen av AF_UNIX-sockets, vilket leder till åtkomst till minnet efter att det har frigjorts, vilket kan utnyttjas för att köra godtycklig kod på kärnnivå. Problemet är åtgärdat i kärnuppdateringarna från augusti.
• För Debian GNU/Linux 13 har en uppdatering av paketet med Linux-kärnan version 6.12.111-1 släppts, som åtgärdar 1313 sårbarheter.
• En sårbarhet (CVE-2026-94545) i plattformen Next.js som möjliggör fjärrkörning av egen kod på servern utan autentisering genom att skicka en begäran om att generera en SVG-bild, förutsatt att servern har en hanterare för förhandsvisningar av OG-kort (Open Graph). Problemet är relaterat till en sårbarhet i biblioteket Satori som används för att konvertera HTML och CSS till SVG. Sårbarheten orsakas av bristande kontroll av escape-tecken innan de sätts in i SVG-filen, vilket kan användas för att lägga till en <script>-tagg i SVG-markupen, som exekverades på servern vid konvertering av SVG till ett rasterformat. Problemet har åtgärdats i Satori 0.33.5 och Next.js 15.5.26, 16.3.6 och 16.4.0.
• Sårbarheter (CVE-2026-33937, CVE-2026-106445) i JavaScript-biblioteket handlebars.js, som har 50 miljoner nedladdningar i veckan och 17 000 beroende projekt. Sårbarheterna möjliggör fjärrkörning av JavaScript-kod på servern (när biblioteket används med Node.js) genom att sätta in redan bildade AST-objekt (Abstract Syntax Tree) i mallmotorn förutom strängmallar. Problemen har åtgärdats i version 4.7.10.
• I den kryptografiska biblioteket wolfSSL version 5.9.4 har 11 sårbarheter åtgärdats, varav de mest allvarliga möjliggör kringgåelse av autentisering genom användning av falska certifikat.
• 6 sårbarheter i Flatpak:s självständiga paketsystem, inklusive problem som möjliggör borttagning (CVE-2026-97023) och skrivning (CVE-2026-97024) av filer i huvudsystemet med root-behörigheter, samt att skicka signaler till processer utanför den isolerade miljön (CVE-2026-97029). Problemet åtgärdades i versionen Flatpak 1.18.4.
• En sårbarhet i PCRE2-biblioteket, orsakad av en buffertöversvämning i JIT-kompilatorn för reguljära uttryck. En exploat har utarbetats, vilket möjliggör fjärrkodexekvering i PHP-projekt, såsom phpMyAdmin, när den angivna attackerade reguljära uttrycket behandlas i funktioner baserade på PCRE2. Problemet åtgärdades i version 10.49 av libpcre2.
• 14 sårbarheter i kryptografi-biblioteket OpenSSL, där de mest kritiska kan leda till läckage av processminne vid manövrerande av DTLS-anslutningsförhandlingar (CVE-2026-84782), åtkomst till minnet efter att det har frigjorts när man samtidigt åtkommer ett X.509-certifikat från olika trådar (CVE-2026-84783), och rekonstruktion av privata nycklar genom tidsanalys av operationerna via sidokanaler vid SM2 och brainpoolP384r1 signaturgenerering (CVE-2026-54872, CVE-2026-77696). Problemet åtgärdades i versionerna OpenSSL 4.0.3, 3.6.5, 3.5.9 och 3.4.8.
• En exploat har publicerats för en sårbarhet i PostgreSQL-databashanteraren (CVE-2026-15742), som möjliggör kodexekvering på servern med de behörigheter som används av databashanteraren, genom att skicka särskilt formaterade värden till SQL-funktionerna levenshtein() och levenshtein_less_equal(). Sårbarheten åtgärdades i versionerna PostgreSQL 18.6, 17.11, 16.15, 15.19 och 14.24.
• I uppdateringarna av plattformen för samarbetsutveckling Gitea 28.0.0 och 28.1.0 har flera dussin sårbarheter åtgärdats, inklusive bypass av bekräftelsemekanismen för ändringar vid skickande av pull-förfrågningar (CVE-2026-104632), kodexekvering i CI från en fork (CVE-2026-94205), och omgå autentisering i den inbyggda SSH-servern på grund av att teckenregister ignoreras vid databashämtning (CVE-2026-103059).
• Buffertöversvämning (CVE-2026-102633) i biblioteket libexpat, som uppstår på 32-bitars plattformar vid bearbetning av särskilt formaterade XML-filer. Problemet åtgärdades i version 2.9.0.
• Två sårbarheter i paketet FreeIPMI för hantering av servrar, som stöder IPMI (Intelligent Platform Management Interface). En av sårbarheterna leder till buffertöversvämning vid hantering av särskilt formaterade värdnamn. Problemen åtgärdades i version 1.6.20 av FreeIPMI.
• Inom ramen för projektet Lightwell har IBM och Red Hat identifierat och förberett åtgärder för mer än 400 sårbarheter i öppna Java-bibliotek.

Källa: opennet.ru