CVE-2026-45257
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 — wyżej niż 5% wszystkich znanych CVE
Streszczenie
Podatność w implementacji KTLS w jądrze FreeBSD powoduje, że podczas odbioru danych przez KTLS na połączeniu loopback, dane pochodzące z sendfile(2) są odszyfrowywane w miejscu, nadpisując stronę pamięci podręcznej pliku zamiast prywatnej kopii. Umożliwia to nieuprzywilejowanemu użytkownikowi lokalnemu nadpisanie zawartości plików, które może odczytać, poprzez wysłanie ich przez połączenie loopback z włączonym odbiorem KTLS.
Ocena ryzyka
Atakujący może nadpisać dowolny plik, który ma prawo odczytać, w tym pliki binarne setuid lub inne zaufane pliki, co prowadzi do eskalacji uprawnień i potencjalnie pełnego przejęcia systemu. Modyfikacja pamięci podręcznej pliku omija flagi plików takie jak schg i jest zapisywana na dysk.
Rekomendacja
Należy natychmiast zastosować łatkę bezpieczeństwa dostarczoną przez FreeBSD dla podatności CVE-2026-45257. Do czasu jej zastosowania zaleca się wyłączenie KTLS na interfejsach loopback lub ograniczenie dostępu do sendfile(2) dla nieuprzywilejowanych użytkowników.
Oryginalny opis (angielski, źródło NVD)
The KTLS receive path decrypted each record in place, assuming that the mbufs holding received data were anonymous and safe to modify. This assumption does not hold for data placed on a socket by sendfile(2), which can reference file-backed memory directly through non-anonymous M_EXTPG pages or EXT_SFBUF mbufs. When the sender transmits such data over a loopback connection without enabling KTLS on the transmit side, the file-backed mbufs reach the receiver's decryption path unchanged. Decrypting a record in place then overwrites the backing file's page cache instead of a private copy of the data. An unprivileged local user who can read a file can overwrite its contents with data of their choosing by sending the file over a loopback connection on which they have enabled KTLS receive. The write modifies the page cache directly, so it bypasses file flags such as schg and is written back to disk. By overwriting a setuid binary or other trusted file, a local user can escalate privileges, potentially gaining full control of the affected system.