Fjärrutnyttjade sårbarheter i FreeBSD:s kärna, Vim och Emacs

En sårbarhet har åtgärdats i FreeBSD (CVE-2026-4747) som gör det möjligt att via nätverkspaket till en NFS-server köra kod på kärnnivå. Problemet uppstår vid användning av kgssapi.ko-modulen som implementerar RPCSEC_GSS API på kärnsidan. Förutom kärnan berör sårbarheten även applikationer i användarrummet som använder biblioteket librpcgss_sec och utför funktioner som RPC-server. Liknande applikationer, som inte ingår i FreeBSD:s grundsystem, kan också attackeras genom att skicka nätverkspaket.

Problemet finns i implementeringen av GSS (Generic Security Services) API, som möjliggör upprättande av säkrade autentiserade kommunikationskanaler med servern. RPCSEC_GSS används i NFS-servrar för att skydda åtkomsten till Sun RPC med Kerberos-baserad autentisering och kryptering av trafiken mellan server och klient. Problemet orsakas av att data från paketet kopieras till en fast buffer utan ordentlig storlekskontroll vid signaturverifiering. Felet uppstår i ett tidigt skede innan autentiseringen, men kräver möjlighet att skicka nätverkspaket till NFS-servern. En exploit finns tillgänglig för att på distans köra /bin/sh med root-rättigheter.

Sårbarheten upptäcktes av en medarbetare på Anthropic med hjälp av AI-assistenten Claude. Noterbart är att externa forskare från teamet Calif använde Claude för att skriva en fungerande exploit, och gav endast den gemensamma sårbarhetsrapporten som publicerats av FreeBSD som information. Utöver den direkta exploateringen av sårbarheten satte AI-modellen upp en virtuell maskin med en sårbar konfiguration, konfigurerade fjärrdebuggning och läsning av kärnans crash-dumpar, samt organiserade i exploitens kodsamling körning av /bin/sh, efter att ha uppnått exekvering av kod på kärnnivå. Det tog 4 timmars arbetstid för Claude-modellen att skapa exploitens kod.

Forskare som skapade exploiten nöjde sig inte med detta utan fortsatte experimenten och använde Claude för att identifiera sårbarheter i Vim och Emacs, vilket möjliggör att köra sin kod när man öppnar speciellt formaterade filer i redigerarna. Det är anmärkningsvärt att instruktionerna till modellen var enkla och konceptuella, som "hitta en 0-dagars sårbarhet i Vim som uppstår vid öppning av en fil". Till slut lyckades modellen Claude hitta tidigare okända sårbarheter.

Sårbarheten i Vim (CVE-2026-34714) orsakas av ett fel i behandling av tabpanel-alternativet i det som standard är aktiverade modeline-läget ("set modeline"), vilket ger möjlighet att definiera redigeringsalternativ i den behandlade filen. Enligt Vim-utvecklarnas avsikt tillåter modeline endast ett begränsat antal alternativ, där uttrycken utförs i sandbox-läge som endast tillåter enklaste säkra operationer.

Flaggan P_MLE var inte ställd för tabpanel-alternativet, vilket gjorde att uttrycket %{expr} kunde användas, vilket utfördes utan att aktivera modelineexpr-läget. För att kringgå sandbox-isoleringen utnyttjades en brist i funktionen autocmd_add(), där det saknades nödvändiga säkerhetskontroller vid bindning av åtgärder till eventet SafeStateAgain, vilket möjliggjorde att köra kommandon efter att man lämnat sandbox-isoleringen. Sårbarheten åtgärdades i utgåvan Vim v9.2.0272. Exempel på en rad som leder till körning av kommandot "id" och omdirigering av utdata till filen "\/tmp\/calif-vim-rce-poc": \/ * vim: set showtabpanel=2 tabpanel=%{%autocmd_add([{‘event’\:’SafeStateAgain’,’pattern’\:’*’,’cmd’\:’!id>\/tmp\/calif-vim-rce-poc’,’once’\:1}])%}: *\/

Sårbarheten i Emacs orsakas av automatisk hantering av innehållet i .git\/ katalogen, när den placeras i samma katalog som den öppnade filen. I detta fall kör Emacs kommandona "git ls-files" och "git status" när filen öppnas, vilket utförs i kontexten av innehållet i ".git\/". För att möjliggöra körning av kod räcker det att öppna en fil i Emacs från en katalog som har en underkatalog .git\/ med konfigurationsfilen "config", där alternativet "core.fsmonitor" inkluderar den angivna attacker's kommandot för körning. De ansvariga för GNU Emacs har vägrat att åtgärda sårbarheten, och angett att problemet ligger hos Git.

Dessutom kan man nämna ytterligare två sårbarheter:

• CVE-2026-33150 – åtkomst till minne efter det har frigjorts i io_uring-behandlaren från libfuse-biblioteket, vilket potentiellt kan möjliggöra exekvering av kod vid uttömning av tillgängliga resurser när man arbetar med filsystem implementerade via FUSE (Filesystem in Userspace).
• CVE-2026-34743 – buffertöverskridande i implementeringen av funktionen lzma_index_append() från liblzma-biblioteket. Problemet uppstår vid användning av funktionen lzma_index_decoder() för att avkoda en index som inte innehåller någon post, vilket leder till att en buffert allokeras som är mindre än nödvändigt. Det noteras att det lågnivå API:et lzma_index* sällan används i applikationer och det är osannolikt att det finns applikationer där nödvändiga exploateringsförhållanden för att arbeta med indexet uppfylls. Sårbarheten har åtgärdats i uppdateringen av XZ Utils 5.8.3.

Källa: opennet.ru