CVE-2026-90032
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
W jądrze Linux w sterowniku media: usbtv występuje użycie zwolnionej pamięci. Wywołania zwrotne ALSA PCM przechowują stan sterownika w pcm->private_data, a otwarty plik PCM może przetrwać odłączenie USB, ponieważ usbtv_audio_free() używa snd_card_free_when_closed(). Ścieżka odłączenia może zwolnić strukturę usbtv przed zwolnieniem podstrumienia przez ALSA, co prowadzi do odwołania do zwolnionej pamięci w snd_usbtv_pcm_close().
Ocena ryzyka
Może prowadzić do awarii jądra (kernel panic) lub potencjalnego wykonania kodu w kontekście jądra podczas odłączania urządzenia USB. Wymaga fizycznego dostępu do portu USB lub możliwości odłączenia urządzenia.
Rekomendacja
Zaktualizuj jądro Linux do wersji zawierającej poprawkę, która utrzymuje referencję urządzenia V4L2 dla karty ALSA i zwalnia ją w private_free. Jeśli aktualizacja nie jest możliwa, unikaj odłączania urządzeń usbtv podczas aktywnego odtwarzania audio.
Powiązane podatności
- CVE-2026-116508Krytyczne
TOTOLINK A950RG 4.1.2cu.5268_B20221104 zawiera podatność na przepełnienie bufora na stosie w funkcji sub_402340 pliku infostat.cgi (komponent Device-Information CGI). Manipulacja argumentem CONTENT_LENGTH prowadzi do przepełnienia, a exploit jest publicznie dostępny.
- CVE-2026-116506Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja apmib_set w pliku firewall.so jest podatna na wstrzyknięcie poleceń. Podatność może być wykorzystana zdalnie, a publiczny exploit jest dostępny.
- CVE-2026-116505Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja getDeviceInfo w pliku /var/lib/misc/udhcpd.leases jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem adresu MAC. Atak może być przeprowadzony zdalnie, a exploit jest publicznie dostępny.
- CVE-2026-116504Krytyczne
W urządzeniu TOTOLINK A950RG (wersja 4.1.2cu.5268_B20221104) funkcja setCloudUpgradeFW w pliku lib/cste_modules/upgrade.so jest podatna na wstrzyknięcie poleceń poprzez manipulację argumentem FileName. Atak może być zainicjowany zdalnie, a exploit został publicznie ujawniony.
- CVE-2026-110720Krytyczne
consul-k8s w wersjach 0.42.0 i późniejszych zawiera obejście autoryzacji między przestrzeniami nazw w regułach wiązania ACL komponentów. Może to pozwolić atakującemu na uzyskanie podwyższonych uprawnień w Consulu.
- CVE-2026-10757Krytyczne
W Esri ArcGIS Server w wersjach 12.1 i starszych na Windows i Linux występuje podatność na wstrzyknięcie SQL, która może pozwolić zdalnemu atakującemu z uprawnieniami dostępu do usługi na wywoływanie funkcji specyficznych dla bazy danych, które nie powinny być dozwolone.
- CVE-2026-102649Krytyczne
Podatność w operatorze Kubernetes Burrito (Terraform Automation Collaboration Software) przed wersją 0.13.0 polega na tym, że endpoint POST /api/webhook akceptuje niepodpisane zdarzenia GitHub i GitLab, gdy poświadczenia TerraformRepository nie mają ustawionego webhookSecret lub jest on pusty. Umożliwia to osobie znającej URL śledzonego repozytorium sfałszowanie zdarzeń i utworzenie lub usunięcie zasobów TerraformPullRequest z wybranymi przez atakującego polami Branch, Base i ID. W przypadku zdarzeń pull_request z GitHuba kontroler pobiera zmienione pliki na podstawie prawdziwego numeru PR, ale nie weryfikuje gałęzi z payloadu, co może prowadzić do nieautoryzowanego terraform plan z użyciem przechowywanych poświadczeń git i chmurowych.
- CVE-2026-115905Krytyczne
W bibliotece zip dla Rusta do wersji 9.0.4 ZipArchive traktuje nazwy plików z nagłówka central directory jako wiążące, podczas gdy ZipStreamReader rozpakowuje przy użyciu nazw z lokalnego nagłówka pliku, bez uzgadniania zduplikowanych metadanych. Spreparowane archiwum może wyglądać nieszkodliwie dla komponentu sprawdzającego central directory, ale spowodować zapis innej ścieżki i zawartości przez ekstraktor strumieniowy.
- CVE-2026-112346Krytyczne
OpenHands Software Agent SDK przed wersją 1.52.0 zawiera podatność na nieuwierzytelnione zdalne wykonanie kodu. Launchery DockerWorkspace i Apptainer wiążą serwer agenta sandbox z wszystkimi interfejsami sieciowymi (0.0.0.0) z pustą listą session_api_keys, co domyślnie wyłącza uwierzytelnianie.
- CVE-2026-93328Krytyczne
W Google Cloud MCP Toolbox for Databases (googleapis/mcp-toolbox) w wersjach 1.2.0–1.4.0 występuje podatność typu path traversal oraz brak autoryzacji w źródle cloud-storage. Nieuwierzytelniony zdalny atakujący może eksfiltrować pliki hosta do zewnętrznych bucketów Google Cloud Storage oraz nadpisać dowolne pliki lokalne poprzez spreparowane parametry wywołania narzędzia.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: media: usbtv: keep device alive while ALSA card exists The ALSA PCM callbacks store the driver state in pcm->private_data. An open PCM file can outlive USB disconnect because usbtv_audio_free() uses snd_card_free_when_closed(). The disconnect path can then drop the V4L2 device reference and free struct usbtv before ALSA releases the substream, so a later close dereferences freed memory in snd_usbtv_pcm_close(). Take a V4L2 device reference for the ALSA card and drop it from the card private_free callback. This keeps struct usbtv valid until ALSA has closed the remaining files and freed the card.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS