มีการค้นพบช่องโหว่ระดับเคอร์เนลหลายรายการ Linux และ FreeBSD ช่องโหว่ใน Linux ช่องโหว่ใน FreeBSD อนุญาตให้มีการเรียกใช้โค้ดจากระยะไกล การยกระดับสิทธิ์ของระบบ การหลุดออกจากคอนเทนเนอร์ หรือการข้ามผ่านการแยกส่วนของเครื่องเสมือน
ช่องโหว่ของเคอร์เนล Linux:
- 5 ช่องโหว่ที่ถูกเปิดเผยโดย Zero Day Initiative ก่อนที่จะมีการออกแพทช์แก้ไข เนื่องจากส่งข้อมูลไปยังรายชื่อผู้รับอีเมลผิดโดยไม่ตั้งใจ:
- ZDI-CAN-33549 — ช่องโหว่ในโมดูล ksmbd ที่เกี่ยวข้องกับการใช้งานไฟล์ เซิร์ฟเวอร์ ช่องโหว่นี้ใช้โปรโตคอล SMB ซึ่งสามารถถูกใช้ประโยชน์ในการเรียกใช้โค้ดจากระยะไกลในระดับเคอร์เนลได้ ปัญหาเกิดจากค่าจำนวนเต็มเกินขีดจำกัด (integer overflow) ในฟังก์ชัน mbdirect_connection_rdma_xmit() ซึ่งเกิดขึ้นหากเคอร์เนลถูกคอมไพล์ด้วยตัวเลือก "CONFIG_SMB_SERVER_SMBDIRECT=y" และ "CONFIG_RDMA_RXE=y" สำหรับการโจมตีที่สำเร็จ ผู้โจมตีจะต้องสามารถเขียนข้อมูลลงในพื้นที่จัดเก็บข้อมูลร่วมที่เป้าหมายจัดเตรียมไว้ได้ เซิร์ฟเวอร์ซึ่งควรใช้เทคโนโลยี RDMA และ SMB Direct ด้วยเช่นกัน มีตัวอย่างการโจมตีต้นแบบที่ใช้งานได้ใน Debian 13.
- ZDI-CAN-33774 เป็นข้อผิดพลาดแบบ Race Condition ในโมดูลเคอร์เนล ksmbd ซึ่งทำให้ข้อมูล 62 ไบต์จากส่วนหัว SMB2 ถูกเขียนลงในบัฟเฟอร์ขนาด 40 ไบต์ที่จัดสรรไว้สำหรับโปรโตคอล SMB1 ช่องโหว่นี้อาจนำไปสู่การเรียกใช้โค้ดจากระยะไกลได้ หากผู้โจมตีสามารถเข้าถึงพื้นที่จัดเก็บข้อมูล SMB ที่จัดการโดย ksmbd ได้ มีตัวอย่างการโจมตีที่ใช้งานได้จริง Debian 13.
- ZDI-CAN-33367 เป็นช่องโหว่ในสแต็กเครือข่ายของเคอร์เนลที่อนุญาตให้ผู้ใช้ภายในเครื่องสามารถเข้าถึงสิทธิ์ระดับรูทได้โดยการเขียนทับข้อมูลกระบวนการในแคชเพจ คล้ายกับช่องโหว่ Dirty Frag และ Fragnesia ในครั้งนี้ ปัญหาเกิดจากข้อผิดพลาดในฟังก์ชัน
skb_zerocopy() มีการเตรียมตัวอย่างการโจมตีที่ใช้งานได้ในเวอร์ชันต่างๆ Ubuntuการแก้ไขนี้มีให้ใช้งานในรูปแบบแพทช์ ปัจจุบัน มีเพียงนักพัฒนา Alma เท่านั้นที่ได้รับการสนับสนุนจากระบบปฏิบัติการต่างๆ Linux เราได้ปล่อยอัปเดตแพ็กเกจเคอร์เนลแบบไม่แจ้งล่วงหน้า ซึ่งแก้ไขช่องโหว่นี้แล้ว - ZDI-CAN-34068 คือช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์ในไดรเวอร์กราฟิก VMWGFX ซึ่งใช้ในการเร่งความเร็ว 3 มิติในสภาพแวดล้อม VMware ปัญหานี้ทำให้ผู้ใช้ภายในเครื่องสามารถเข้าถึงสิทธิ์ระดับรูทในระบบได้โดยการเข้าถึง GPU เสมือนผ่านอุปกรณ์ /dri/card* มีตัวอย่างการโจมตีที่ใช้งานได้จริงอยู่ Ubuntu 26.04
- ZDI-CAN-34076 เป็นช่องโหว่ในไดรเวอร์ nvmet (NVMe Target) ที่นำไปสู่การรั่วไหลของข้อมูลเกี่ยวกับเนื้อหาของหน่วยความจำเคอร์เนล
- มีการเปิดเผยข้อมูลและเผยแพร่ต้นแบบการโจมตีสำหรับช่องโหว่ระดับเคอร์เนล 5 ช่องโหว่ ซึ่งอนุญาตให้ผู้ใช้ที่ไม่มีสิทธิ์พิเศษสามารถเข้าถึงสิทธิ์ระดับรูทและหลีกเลี่ยงการแยกคอนเทนเนอร์ได้ ช่องโหว่ชุดนี้ได้รับการตั้งชื่อรหัสว่า "Infinity Core" ปัญหาเหล่านี้ได้รับการแก้ไขแล้วในเคอร์เนลเวอร์ชันล่าสุด
- CVE-2026-98260 - ช่องโหว่การใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) เนื่องจากการนำโครงสร้างตัวจับเวลา POSIX กลับมาใช้ใหม่ โดยหน่วยความจำสำหรับโครงสร้างนี้ถูกปล่อยในเธรดหลักหลังจากเกิดข้อผิดพลาดระหว่างการเรียกใช้ exec() แต่การอ้างอิงยังคงอยู่ในคิวตัวจับเวลาในเธรดอื่น มีตัวอย่างการโจมตีที่แสดงให้เห็นแล้วใน Ubuntu 26.04 และใน Android บนสมาร์ทโฟน Samsung Galaxy S26 Ultra
- CVE-2026-98256 - ปัญหาการใช้งานหลังจากปล่อยหน่วยความจำ (use-after-free) เกิดขึ้นเนื่องจากสภาวะการแข่งขัน (race condition) ระหว่างการเรียก exec() ในเธรดรองและการล้างคิวสัญญาณที่รอการดำเนินการ (sigqueue) เมื่อทำการจัดการคิว การอ้างอิงถึงตัวจัดการสัญญาณอาจยังคงอยู่ในคิวหลังจากที่หน่วยความจำที่เกี่ยวข้องถูกปล่อยแล้ว และสามารถนำไปใช้ในการประมวลผลสัญญาณได้ การโจมตีนี้แสดงให้เห็นใน Ubuntu 26.04.
- CVE-2026-89754 — ช่องโหว่บัฟเฟอร์โอเวอร์โฟลว์ในการใช้งานระบบเรียก mincore() เกิดขึ้นเนื่องจากสภาวะการแข่งขัน (race condition) ระหว่างการวนซ้ำตารางเพจหน่วยความจำหลังจากเรียกใช้ madvise(MADV_DONTNEED) การโจมตีนี้แสดงให้เห็นใน Ubuntu 26.04.
- CVE-2026-80775 - มีช่องโหว่การใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) ในการเรียกใช้ระบบ prctl() เนื่องจากการติดตามตัวนับการอ้างอิงที่ไม่ถูกต้องสำหรับแฮช futex เมื่อ...
สภาวะการแข่งขันระหว่างงานที่ใช้โครงสร้าง mm_struct เดียวกันในการเรียก vfork() แบบซ้อนกัน การโจมตีที่ใช้ช่องโหว่นี้เพื่อเขียนทับ /usr/bin/passwd ในแคชเพจได้ถูกสาธิตไว้ใน Ubuntu 26.04. - CVE-2026-98385 - ช่องโหว่การใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) ในตัวจัดการแคชของตัวกำหนดตารางงาน เกิดขึ้นเมื่อตัวกำหนดตารางงานอัปเดตฟิลด์สถิติในโครงสร้าง mm_struct สำหรับงานหลังจากที่หน่วยความจำที่เกี่ยวข้องถูกปล่อยไปแล้วระหว่างการเรียกใช้ exec() บนคอร์ CPU อื่น ช่องโหว่นี้เกิดขึ้นในเคอร์เนลที่เปิดใช้งานตัวเลือก CONFIG_SCHED_CACHE การสาธิตการโจมตีแสดงอยู่ใน
โค้ง Linux โดยใช้เคอร์เนลเวอร์ชัน 7.2.4
- ช่องโหว่ใน Vghost (CVE-2026-74580) อยู่ในระบบย่อยเคอร์เนล vhost ซึ่งใช้ในการเร่งความเร็วการทำงานของ I/O ผ่าน Virtio ในระบบเวอร์ชวลไลเซชัน ช่องโหว่นี้เกิดจากการจัดการแคชตารางการแปล I/O (IOTLB) ที่ไม่เหมาะสม และสามารถใช้ประโยชน์เพื่อยกระดับสิทธิ์และหลีกเลี่ยงการแยกส่วนของระบบปฏิบัติการแขกได้ เมื่อทำการกำหนดค่าที่อยู่หรือขนาดคิว (vring) ใหม่ผ่านการเรียกใช้ VHOST_SET_VRING_ADDR หรือ VHOST_SET_VRING_NUM แคช vq->meta_iotlb[] จะไม่ถูกล้าง ทำให้ที่อยู่ใหม่ถูกแปลโดยใช้รายการการแมปหน่วยความจำที่ไม่ถูกต้อง
มีการเผยแพร่ตัวอย่างช่องโหว่ที่ใช้ในการเข้าถึงสิทธิ์ระดับรูท ซึ่งได้รับการทดสอบบนระบบปฏิบัติการต่างๆ แล้ว Ubuntu 26.04 เมษายน RHEL 9.8 Amazon Linux 2023.12.20260817, Azure Linux 3.0 และ Oracle Linux 10.2.
เป็นไปได้ที่จะใช้ประโยชน์จากช่องโหว่นี้เพื่อเรียกใช้โค้ดในระดับเคอร์เนลของระบบโฮสต์ โดยการจัดการการเรียกใช้ VIRTIO_F_RING_RESET ในระบบเกสต์ในสภาพแวดล้อมเสมือนที่มี IOMMU เสมือน
ปัญหาเริ่มปรากฏขึ้นตั้งแต่ระดับเคอร์เนล Linux ปัญหานี้ได้รับการแก้ไขแล้วในเวอร์ชัน 4.11 และเวอร์ชัน 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 และ 7.2 วิธีแก้ปัญหาชั่วคราวคือ คุณสามารถจำกัดการเข้าถึงอุปกรณ์ /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi และ /dev/vhost-vdpa-* ได้
ช่องโหว่ของ FreeBSD (แก้ไขแล้วในเวอร์ชัน 15.1-RELEASE-p5, 14.5-RELEASE-p2 และ 14.4-RELEASE-p11):
- CVE-2026-101308 – ช่องโหว่การใช้งานหน่วยความจำหลังจากถูกปล่อย (use-after-free) ในไดรเวอร์เสียง เกิดขึ้นเนื่องจากสภาวะการแข่งขัน (race condition) ระหว่างการปรับขนาดบัฟเฟอร์และการแมปหน่วยความจำ mmap ช่องโหว่นี้อาจทำให้ผู้ใช้ภายในเครื่องที่มีสิทธิ์เข้าถึงอุปกรณ์เสียงสามารถได้รับสิทธิ์ระดับรูทได้
- CVE-2026-101309, CVE-2026-101310 และ CVE-2026-101311 เป็นช่องโหว่ในส่วนประกอบไฮเปอร์ไวเซอร์ Bhyve ที่อนุญาตให้มีการเรียกใช้โค้ดฝั่งโฮสต์ผ่านการจัดการระบบเกสต์ ปัญหาเกิดจากสภาวะการแข่งขันของบัฟเฟอร์นอกขอบเขตในโมเดลคอนโทรลเลอร์ xHCI (USB 3) รวมถึงการตรวจสอบขนาดเรคอร์ดที่ขาดหายไปในโมเดลอุปกรณ์ HDA (High Definition Audio) และเฟรมบัฟเฟอร์
- CVE-2026-101307 — ช่องโหว่การโอเวอร์โฟลว์ของจำนวนเต็มในโมดูล tcp_rack ที่ใช้ในการพัฒนาอัลกอริทึมการตรวจจับการสูญหายของแพ็กเก็ต RACK (Recent ACKnowledgment) ส่งผลให้มีการจัดสรรบัฟเฟอร์ที่มีขนาดเล็กเกินไปสำหรับข้อมูลที่ได้รับทั้งหมด ช่องโหว่นี้อนุญาตให้เขียนทับหน่วยความจำได้มากถึง 512 KB เกินขอบเขตของบัฟเฟอร์เมื่อส่งแพ็กเก็ต ACK จำนวนมากในการเชื่อมต่อ TCP ที่สร้างขึ้นแล้ว การโจมตีอาจส่งผลให้เคอร์เนลเข้าสู่สถานะแพนิค
ที่มา: opennet.ru
