Если планировали спокойные выходные без apt upgrade... планы отменяются, дайджест вышел...
Если планировали спокойные выходные без apt upgrade... планы отменяются, дайджест вышел плотный. Выявленные за последнее время опасные уязвимости, позволяющие получить root-доступ в системе или добиться удалённого выполнения кода: — 20 уязвимостей в Apache httpd, среди которых переполнение буфера в mod_vhost_alias (CVE-2026-63292), потенциально позволяющее удалённо выполнить код через отправку HTTP-запроса с большим HTTP-заголовком Host. Уязвимость проявляется при указании в директиве VirtualDocumentRoot спецификатора подстановки имени хоста и увеличении лимита LimitRequestFieldSize. Среди других опасных проблем: обращение к памяти после её освобождения в mod_rewrite при использовании конструкции %{LA-U:HTTP:...}" (CVE-2026-56154); переполнение буфера в mod_charset_lite (CVE-2026-56153); обращение к уже освобождённой памяти в mod_http2 (CVE-2026-57941); переполнение буфера при разборе файловых путей в Windows (CVE-2026-59685); целочисленное переполнение в mod_dav_fs (CVE-2026-93546). Проблемы устранены в выпуске 2.4.69. — 9 уязвимостей во FreeBSD. Среди выявленных проблем: переполнение буфера, приводящее к выполнению кода на уровне ядра при манипуляциях с системным вызовом semop (CVE-2026-58098); повышение привилегий из-за обращения к памяти после её освобождения в kqueue (CVE-2026-58099); выход за пределы корневого каталога изолированного jail-окружения (CVE-2026-101304, CVE-2026-101305, CVE-2026-101306); крах ядра через отправку специально оформленного сетевого пакета при включении KTLS (CVE-2026-101302); обход механизмов сетевой изоляции в jail (CVE-2026-101303). Уязвимости устранены в обновлениях FreeBSD 15.1-RELEASE-p4, 15.0-RELEASE-p14, 14.5-RELEASE-p1 и 14.4-RELEASE-p10. — 6 уязвимостей в LibreOffice, при открытии специально оформленных документов приводящие к выполнению кода (CVE-2026-63277, эксплоит), записи в произвольные файлы (CVE-2026-63266) или утечке содержимого локальных файлов (CVE-2026-63267, CVE-2026-63268, CVE-2026-63269). Проблемы устранены в LibreOffice 26.2.5 и 26.8.0. — Уязвимость (CVE-2026-59265, эксплоит) в Apache OpenOffice, приводящая к выполнению кода при открытии специально оформленного документа из-за ошибки в функциях интеграции с Java. Проблема будет устранена в выпуске 4.1.17, который находится на стадии тестирования кандидата в релизы. — Уязвимости в сервере печати CUPS. Пока раскрыты только сведения о 14 проблемах с уровнем опасности меньше 7 (CVSS), а список более опасных проблем будет опублиован после истечения эмбарго, дающего время на внесение исправлений в дистрибутивах. Наиболее опасные из раскрытых уязвимостей позволяют повысить привилегии (CVE не назначен) и удалённо выполнить свой код с правами пользователя lp (CVE-2026-55453) при обращении к IPP-принтеру, подконтрольному злоумышленнику. Проблемы устранены в выпуске CUPS 2.4.20. — Уязвимость (CVE-2026-80521, эксплоит) в ядре Linux, позволяющая получить доступ к хост-системе из изолированного контейнера. Уязвимость вызвана состоянием гонки в реализации сокетов AF_UNIX, приводящим к обращению к памяти после её освобождения, которое можно эксплуатировать для выполнения произвольного кода на уровне ядра. Проблема устранена в августовских обновлениях ядра. Для Debian GNU/Linux 13 опубликовано обновление пакета с ядром Linux 6.12.111-1, в котором устранено 1313 уязвимостей. — Уязвимость (CVE-2026-94545) в платформе Next.js, позволяющая удалённо без прохождения аутентификации выполнить свой код на сервере через отправку запроса на генерацию SVG-изображения, при наличии на сервере обработчика для предпросмотра OG-карт (Open Graph). Проблема связана с уязвимостью в библиотеке Satori, используемой для преобразования HTML и CSS в SVG. Уязвимость вызвана отсутствием должной проверки escape-символов перед их подстановкой в SVG-файл, что могло использоваться для добавления тега <script> в SVG-разметку, который выполнялся на сервере при конвертации SVG в растровый формат. Проблема устранена в Satori 0.33.5 и Next.js 15.5.26, 16.3.6 и 16.4.0
Канал в каталоге Максиметера
2 510 подписчиков · IT и технологии