CVE-2026-89486
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
W jądrze Linux w podsystemie IPMI występuje błąd use-after-free w funkcji _ipmi_destroy_user(). Usunięcie synchronize_rcu() między odłączeniem odbiorników poleceń z listy intf->cmd_rcvrs a ich zwolnieniem pozwala czytelnikowi wciąż używać wskaźnika do zwolnionego obiektu cmd_rcvr. Lista cmd_rcvrs jest nadal przeglądana w zwykłym RCU, więc brak okresu karencji powoduje użycie po zwolnieniu.
Ocena ryzyka
Może prowadzić do usterki jądra (use-after-free) i potencjalnej eskalacji uprawnień lub destabilizacji systemu. Dotyczy systemów korzystających z IPMI.
Rekomendacja
Zaktualizuj jądro Linux do wersji przywracającej synchronize_rcu() przed zwolnieniem odbiorników. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do interfejsu IPMI.
Powiązane podatności
- CVE-2026-103409Krytyczne
W Juniper Networks Session Smart Router występuje podatność polegająca na braku uwierzytelniania dla funkcji krytycznej, co pozwala nieuwierzytelnionemu atakującemu sieciowemu uzyskać uprawnienia administracyjne poprzez przekazanie spreparowanych parametrów URL do niezabezpieczonego punktu końcowego działającego jako root. Podatność można wykorzystać wyłącznie przed wdrożeniem urządzenia do Mist/Conductor; po wdrożeniu nie jest już możliwa do wykorzystania.
- CVE-2026-103406Krytyczne
W komponencie AutomatedProvisioner w Juniper Networks Session Smart Conductor występuje podatność niewłaściwej neutralizacji elementów specjalnych w poleceniach systemu operacyjnego. Pozwala ona zdalnemu atakującemu na wykonanie dowolnych poleceń jako root poprzez specjalnie spreparowany identyfikator salt minion ID.
- CVE-2026-44179Krytyczne
Makro `excerpt-include` w XWiki Remote Macros nieprawidłowo escapuje tytuł dołączanej strony i wykonuje treść `excerpt` z uprawnieniami makra. Zarówno obsługa tytułu, jak i renderowanie treści `excerpt` do składni XWiki pozwalają na wstrzyknięcie składni. Każdy użytkownik mogący edytować stronę, nawet bez uprawnień do skryptów, może dostarczyć wykonywalną składnię makra i doprowadzić do zdalnego wykonania kodu przy dołączeniu strony.
- CVE-2026-115968Krytyczne
Podatność deserializacji niezaufanych danych w wtyczce WordPress Ultimate Member umożliwia wstrzyknięcie obiektu (Object Injection). Problem dotyczy wersji do 2.13.1 włącznie.
- CVE-2026-105420Krytyczne
Wing FTP Server nie weryfikuje katalogu bazowego użytkownika, co pozwala atakującemu z uprawnieniami administratora dodawać katalogi użytkowników poprzez skrypty wykraczające poza katalog bazowy. Umożliwia to zapis plików w systemie i potencjalne zdalne wykonanie kodu z uprawnieniami właściciela procesu, a przy instalacji przez sudo pliki tworzone są jako root. Problem naprawiono w wersji 8.2.6.
- CVE-2026-67074Krytyczne
HCL BigFix AEX zawiera podatność umożliwiającą zdalne wykonanie kodu (RCE). Atakujący może wykonać dowolny kod z uprawnieniami aplikacji lub usługi, co może prowadzić do nieautoryzowanego dostępu, ujawnienia danych lub przejęcia systemu.
- CVE-2026-115904Krytyczne
Topluyo Desktop dla Linuksa przed wersją 2026.9.2410 niebezpiecznie przetwarza URL-e kontrolowane przez użytkownika, co prowadzi do wstrzyknięcia poleceń systemowych przez funkcję openExternalLinks() w utils.js. Atakujący kontrolujący docelowy URL może wykonać dowolne polecenia systemowe z uprawnieniami użytkownika aplikacji po otwarciu linku. Wersja 2026.9.2410 naprawia problem.
- CVE-2026-115607Krytyczne
Wtyczka DXP ToolKit firmy Crowd Favorite zawiera podatność SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 2.0.1.
- CVE-2026-111411Krytyczne
Wtyczka FunnelKit Automations (wp-marketing-automations) firmy Aman zawiera podatność Blind SQL Injection wynikającą z niewłaściwej neutralizacji specjalnych elementów w poleceniach SQL. Problem dotyczy wersji od n/a do 3.8.5.2.
- CVE-2026-118477Krytyczne
Parametr ei_git_repo_url w punkcie końcowym konfiguracji zdalnego repozytorium Git w KaliFast jest podatny na wstrzyknięcie poleceń systemowych. Uwierzytelniony atakujący może wykonać dowolne polecenia z uprawnieniami www-data. Podatność naprawiono w wersji 2026061802.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: ipmi: Fix use-after-free of cmd_rcvr in _ipmi_destroy_user() Commit 9e91f8a6c868 ("ipmi:msghandler: Remove srcu for the ipmi_interfaces list") dropped the synchronize_rcu() between unlinking the command receivers from intf->cmd_rcvrs and freeing them, updating only the comment that explains why the barrier is needed. The cmd_rcvrs list is still traversed under plain RCU: find_cmd_rcvr() walks it inside rcu_read_lock(), and handle_ipmb_get_msg_cmd() borrows rcvr->user from that lookup within the same read-side section. Without the grace period, _ipmi_destroy_user() can kfree() a cmd_rcvr while a reader still holds a pointer to it, causing a use-after-free. The rework only made srcu unnecessary for the interfaces list; the cmd_rcvrs list still relies on plain RCU. Restore the synchronize_rcu() before freeing the receivers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS