CVE-2026-49416

Kod zrzutu rdzenia ELF zliczał liczbę wpisów mapy VM, które można zrzucić, alokował bufor dla odpowiednich nagłówków programów, a następnie iterował po mapie drugi raz, aby je wypełnić. Proces współdzielący przestrzeń adresową przez rfork(2) może zmienić mapę między dwoma przebiegami, co powoduje zapis nagłówków programów poza końcem bufora. Nieuprzywilejowany użytkownik lokalny współdzielący przestrzeń adresową z procesem, który zrzuca rdzeń, może wywołać zapis poza zakresem na stercie jądra, potencjalnie prowadząc do eskalacji uprawnień.

Polecenia GETALL i SETALL w semctl(2) rejestrowały liczbę semaforów w docelowym zestawie, zwalniały blokadę chroniącą zestaw, alokowały bufor o rozmiarze odpowiadającym tej liczbie i ponownie przejmowały blokadę. Do weryfikacji, czy zestaw nie został zastąpiony w międzyczasie, używano sprawdzenia numeru sekwencji, ale numer sekwencji zawija się po 0x8000 cyklach tworzenia/niszczenia. Poprzez szybkie niszczenie i odtwarzanie zestawów semaforów pod tym samym indeksem, inny proces może spowodować zawinięcie numeru sekwencji, co pozwala zestawowi z inną liczbą semaforów przejść walidację. Kolejna kopia odczytuje lub zapisuje poza końcem przydzielonego bufora. Nieuprzywilejowany użytkownik lokalny może wywołać odczyty i zapisy poza zakresem na pamięci sterty jądra, potencjalnie prowadząc do eskalacji uprawnień.

W wyniku niezamierzonego efektu ubocznego niepowiązanej zmiany kodu, PRIV_KTRACE był zawsze odmawiany uwięzionemu użytkownikowi root. Śledzenie skonfigurowane przez uwięzionego roota nie było zatem oznaczane jako uprzywilejowane. Nieuprzywilejowany użytkownik w więzieniu, który ma uprawnienia do debugowania procesu docelowego, może zmodyfikować flagi ktrace(2) uwięzionego roota lub całkowicie wyłączyć śledzenie. Uwięziony root nie może zatem wiarygodnie śledzić nieuprzywilejowanych procesów.

Po wysłaniu operacji deszyfrowania do OCF i otrzymaniu wyniku, sterownik wg(4) nie sprawdzał, czy krok weryfikacji MAC zakończył się sukcesem. Sterownik w ten sposób po cichu akceptował pakiety z nieprawidłowym tagiem uwierzytelniającym Poly1305. Zdalny atakujący, który może wysyłać pakiety UDP do punktu końcowego WireGuard i który może odgadnąć granice okna powtórzeń odbiorcy, może wstrzyknąć sfałszowane lub zmodyfikowane pakiety danych transportowych do tunelu. Zdalny atakujący, który może przechwycić pakiety WireGuard przeznaczone dla hosta FreeBSD, może zmodyfikować szyfrogram i uwierzytelnione dane bez wykrycia przez odbiorcę.

Aby pobrać poprzednią wartość timera, jądro wywołuje realtimer_gettime(), które uzyskuje bieżący czas dla zegara timera. Dla timera używającego CLOCK_TAI może to się nie powieść, gdy nie skonfigurowano offsetu TAI, ale zwracany błąd nie był sprawdzany, więc niezainicjalizowany bufor wyjściowy był kopiowany do przestrzeni użytkownika. Nieuprzywilejowany użytkownik lokalny może uzyskać niezainicjalizowaną pamięć stosu jądra, tworząc timer POSIX z CLOCK_TAI i wywołując timer_settime(2), potencjalnie ujawniając wrażliwe dane jądra.

Podczas kopiowania knotes w trakcie fork, knote z filtrem opartym na timerze mógł zostać wyzwolony i umieszczony na liście aktywnej kqueue przed zakończeniem kopiowania. Procedura kopiowania nie uwzględniała tego i mogła umieścić nowy knote po raz drugi, uszkadzając listę aktywną. Ponadto procedura kopiowania nie trzymała odpowiednich blokad podczas odczytu stanu knote, co pozwalało na dalsze wyścigi. Nieuprzywilejowany użytkownik lokalny może wywołać use-after-free w jądrze, potencjalnie prowadząc do eskalacji uprawnień.

Procedura obsługi compat32 kevent() tłumaczy 64-bitową strukturę kevent na strukturę 32-bitową zadeklarowaną na stosie. Nie wyzerowała ona najpierw struktury na stosie. Nieuprzywilejowany użytkownik może zaobserwować niewielką ilość niezainicjalizowanych danych ze stosu jądra, które mogą zawierać wrażliwe informacje.

Podczas budowania tablicy iovec dla odebranego rekordu TLS 1.2 CBC, funkcja ktls_ocf_tls_cbc_decrypt() zwiększała indeks iovec dla każdego mbuf w łańcuchu, w tym dla mbufów pominiętych, ponieważ zawierały tylko bajty nagłówka TLS. Pozostawiło to niezainicjalizowane wpisy w tablicy iovec, która została przydzielona bez zerowania. Zdalny peer TLS może spowodować, że jądro odczyta niezainicjalizowane wpisy iovec podczas obliczania HMAC, co prowadzi do paniki jądra. Peer musi kontrolować segmentację TCP tak, aby pierwszy mbuf rekordu CBC zawierał tylko 5-bajtowy nagłówek rekordu TLS.

Niektóre wywołania systemowe, takie jak open(2) z flagą O_TRUNC oraz fspacectl(2), mogły nieprawidłowo zwalniać pamięć w obiektach largepage. Operacje te nie są dozwolone na obiektach largepage, ale implementacja tego nie weryfikowała. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.

Strony należące do obiektów pamięci współdzielonej largepage nie były jawnie przypięte (wired). Gdy sendfile(2) przesyłał taki obiekt z flagą SF_NOCACHE, zwalniał bazowe strony po transmisji, mimo że istniejące mapowania nadal się do nich odnosiły. Nieuprzywilejowany lokalny użytkownik może wykorzystać ten błąd, aby uzyskać dostęp do zwolnionej pamięci jądra, co może prowadzić do eskalacji uprawnień.