Виявлено серію вразливостей у ядрі Linux та FreeBSD. Вразливості у Linux дають можливість дистанційно виконати код, підняти свої привілеї в системі, вийти з контейнерів або обійти ізоляцію віртуальних машин. Вразливості у FreeBSD дозволяють віддалено зупинити роботу ядра, підняти свої привілеї в системі та обійти ізоляцію гіпервізора Bhyve.
Вразливості у ядрі Linux:
- 5 вразливостей, розкритих проектом Zero Day Initiative до публікації виправлень через помилкове відправлення інформації не в той список розсилки:
- ZDI-CAN-33549 - вразливість у модулі ksmbd з реалізацією файлового. сервера з урахуванням протоколу SMB, яку можна експлуатувати для віддаленого виконання коду лише на рівні ядра. Проблема викликана цілим переповненням у функції mbdirect_connection_rdma_xmit(), яке проявляється, якщо ядро зібране з опціями «CONFIG_SMB_SERVER_SMBDIRECT=y» та «CONFIG_RDMA_RXE=y». Для успішної атаки зловмисник повинен мати можливість запису в спільне сховище, яке надається атакованим сервером, на якому також повинні використовуватися технології RDMA та SMB Direct. Доступний прототип експлоїту, що працює в Debian 13.
- ZDI-CAN-33774 - стан гонки в модулі ядра ksmbd, що призводить до запису в 40-байтовий буфер, виділений для протоколу SMB1, 62 байт даних із заголовка SMB2. Вразливість може призвести до віддаленого виконання коду за наявності доступу до SMB-сховища, що обробляється через ksmbd. Доступний прототип експлоїту, що працює в Debian 13.
- ZDI-CAN-33367 - вразливість в мережевому стеку ядра, що дозволяє локальному користувачеві отримати права root в системі, перезаписавши дані процесу в сторінковому кеші за аналогією до уразливостей Dirty Frag і Fragnesia. На цей раз проблема викликана помилкою у функції
skb_zerocopy(). Підготовлено прототип експлоїту, що працює в різних версіях Ubuntu. Виправлення є у формі патча. З дистрибутивів поки що тільки розробники Alma Linux сформували позапланове оновлення пакетів із ядром, у якому виправили дану вразливість. - ZDI-CAN-34068 - переповнення буфера в графічному драйвері VMWGFX, що використовується для реалізації 3D-прискорення в оточеннях VMware. Проблема дозволяє локальному користувачеві отримати права root в системі за наявності доступу до віртуального GPU через пристрій /dri/card*. Доступний прототип експлоїту, що працює в Ubuntu 26.04
- ZDI-CAN-34076 - вразливість у драйвері nvmet (NVMe Target), що призводить до витоку інформації про вміст пам'яті ядра.
- Розкрито відомості та опубліковано прототипи експлоїтів для 5 вразливостей у ядрі, що дозволяють непривілейованому користувачеві отримати права root у системі та обійти ізоляцію контейнерів. Набір уразливостей надано кодове ім'я «Infinity Core». Проблеми вже усунуті у актуальних випусках ядра.
- CVE-2026-98260 - звернення до пам'яті після її звільнення через повторне використання структури POSIX-таймера, пам'ять під яку була звільнена в основному потоці після збою при виконанні виклику exec(), але посилання залишилося в черзі (timerqueue) в іншому потоці. Доступний прототип експлоїту, робота якого була продемонстрована в Ubuntu 26.04 та в Android на смартфоні Samsung Galaxy S26 Ultra.
- CVE-2026-98256 — звернення до пам'яті після її звільнення через стан гонки між викликом exec() у вторинному потоці та очищенням черги сигналів (sigqueue), що очікують на обробку. При маніпуляціях з чергою може виникнути ситуація, коли посилання на обробник сигналу залишиться в черзі після звільнення пов'язаної з ним пам'яті, і потім буде використана при обробці сигналів. Робота експлоїту продемонстрована в Ubuntu 26.04.
- CVE-2026-89754 - переповнення буфера в реалізації системного виклику mincore(), що виникає через стан гонки при повторному обході таблиць сторінок пам'яті після виконання madvise(MADV_DONTNEED). Робота експлоїту продемонстрована в Ubuntu 26.04.
- CVE-2026-80775 — звернення до пам'яті після її звільнення в системному виклику prctl(), що виникає через некоректне відстеження лічильників посилань для хешів фьютексів при виникненні
стану гонки між завданнями, що спільно використовують одну структуру mm_struct при вкладеному виклику vfork(). Експлоїт, що використовує вразливість для перезапису /usr/bin/passwd у сторінковому кеші, продемонстрований у Ubuntu 26.04. - CVE-2026-98385 — звернення до пам'яті після її звільнення в обробнику кешу планувальника завдань, що виникає через те, що планувальник оновлює поля зі статистикою в структурі mm_struct для завдання після звільнення пам'яті, пов'язаної з нею, у разі виконання виклику exec() на іншому ядрі CPU. Вразливість проявляється у ядрах із включеною опцією CONFIG_SCHED_CACHE. Робота експлоїту продемонстрована в
арка Linux з ядром 7.2.4.
- Уразливість Vghost (CVE-2026-74580) у підсистемі ядра vhost, що використовується для прискорення операцій вводу/виводу через Virtio у системах віртуалізації. Вразливість викликана некоректною роботою з кешем таблиць трансляції адрес вводу-виводу (IOTLB) і може використовуватися для підвищення своїх привілеїв у системі та для обходу ізоляції гостьової системи. При перенастроюванні адрес або розмірів черг (vring) через виклики VHOST_SET_VRING_ADDR або VHOST_SET_VRING_NUM кеш vq->meta_iotlb[] не очищався, що призводило до трансляції нових адрес з використанням вже недійсних записів про карту пам'яті.
Опубліковано прототип експлоїту для отримання прав root, протестований у дистрибутивах Ubuntu 26.04, RHEL 9.8, Amazon Linux 2023.12.20260817, Azure Linux 3.0 і Oracle Linux 10.2.
Можливе використання вразливості для виконання коду на рівні ядра хост-системи через маніпуляції з викликом VIRTIO_F_RING_RESET у гостьовій системі у віртуалізованих оточеннях із віртуальним IOMMU.
Проблема проявляється починаючи з ядра Linux 4.11 та усунена у версіях 5.10.265, 5.15.216, 6.1.183, 6.6.152, 6.12.104, 6.18.45, 7.1.9 та 7.2. Як обхідний шлях захисту можна обмежити доступ до пристроїв /dev/vhost-net, /dev/vhost-vsock, /dev/vhost-scsi та /dev/vhost-vdpa-*.
Уразливості у FreeBSD (усунуті на оновленнях 15.1-RELEASE-p5, 14.5-RELEASE-p2 та 14.4-RELEASE-p11):
- CVE-2026-101308 — звернення до пам'яті після її звільнення в драйвері sound, що виникає через стан гонки між операцією зміни розміру буфера та мапінг пам'яті через mmap. Вразливість потенційно дозволяє локальному користувачеві, який має доступ до звукового пристрою, отримати права root.
- CVE-2026-101309, CVE-2026-101310, CVE-2026-101311 — вразливість у компонентах гіпервізора Bhyve, що дозволяє через маніпуляції в гостьовій системі виконати код на стороні хост-оточення. Проблеми викликані виходом за межі буфера через стан гонки в моделі контролера xHCI (USB 3), а також відсутності перевірок розміру записів у моделях пристроїв HDA (High Definition Audio) та framebuffer.
- CVE-2026-101307 — цілечисленне переповнення в модулі tcp_rack з реалізацією алгоритму визначення втрати пакетів RACK (Recent ACKnowledgment), що призводить до виділення буфера, надто дрібного, щоб вмістити всі отримані дані. Вразливість дозволяє перезаписати до 512 КБ в області за кордоном буфера під час надсилання великої кількості ACK-пакетів у встановленому TCP-з'єднанні. Зазначається, що експлуатація може призвести до падіння ядра стан panic.
Джерело: opennet.ru
