Jan Schaumann

**Nome do Software Vulnerável e Versões Afetadas** Linux kernel versões anteriores a 7.0 Linux kernel versões anteriores a 6.19.12 **Description** Uma falha existe na interface de algoritmo criptográfico `algif aead` do kernel do Linux. O problema decorre de uma operação in-place incorreta durante o processamento criptográfico, onde os mapeamentos de dados de origem e destino diferem. Um invasor local com baixos privilégios pode explorar isso ao fazer o splice de um arquivo legível em um socket `AF ALG` e solicitar uma operação AEAD. Isso permite que o invasor realize uma gravação determinística de 4 bytes diretamente no page cache do kernel, que é a cópia em memória de qualquer arquivo que o usuário possa ler. Como o page cache é compartilhado entre containers e o host, isso pode ser usado para corromper arquivos sensíveis do sistema (como `/usr/bin/su` ou `/usr/sbin/ipset`) em memória sem alterar o arquivo no disco. Isso permite que o invasor ignore verificações de integridade de arquivos e escale privilégios para root. Em ambientes Kubernetes, isso pode levar a um escape de container, onde um container sem privilégios alcança a execução de código no nível do nó ao corromper um binário compartilhado com um DaemonSet privilegiado, como o `kube-proxy`. **Recommendations** Atualize o kernel do Linux para a versão 7.0 ou 6.19.12 ou superior. Como mitigação temporária em ambientes Kubernetes, restrinja o agendamento de pods para evitar que cargas de trabalho não confiáveis sejam alocadas em nós que executam DaemonSets privilegiados que compartilham imagens base.

**Nome do Software Vulnerável e Versões Afetadas** NGINX OSS e NGINX Plus (versões afetadas não especificadas) F5 BIG-IP (versões afetadas não especificadas) **Descrição** Existe uma falha no NGINX OSS e no NGINX Plus quando utilizados para fazer proxy para servidores upstream de Transport Layer Security (TLS). Um atacante posicionado em uma configuração de homem-no-meio (MITM) no lado do servidor upstream, juntamente com condições específicas fora do controle do atacante, pode ser capaz de injetar dados em texto simples na resposta de um servidor upstream proxyado. A F5 identificou vulnerabilidades no BIG-IP, NGINX e serviços de contêiner que criam riscos de negação de serviço, particularmente em ambientes de alto tráfego como firewalls de aplicação web e ingress do Kubernetes. Essas vulnerabilidades podem permitir que atacantes sobrecarreguem os serviços remotamente, causando interrupções na disponibilidade do serviço. Uma vulnerabilidade específica, CVE-2026-1642, permite ataques de negação de serviço adjacentes à rede por meio de solicitações manipuladas. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.