Машина с NetBSD на границата на мрежата, филтрираща трафика с ipfilter, е съдържала дефект в ядрото, който може да бъде активиран от някого извън машината. Уязвимостта представлява разименование на нулев указател (null pointer dereference) в ipfilter, което може да бъде предизвикано дистанционно, което означава, че ядрото се опитва да прочете памет чрез указател, който не води наникъде. В кода на ядрото това обикновено завършва със срив на цялата система.
Проектът NetBSD пусна корекцията на 15 септември в NetBSD 10.2, второто междинно издание на стабилния клон NetBSD 10. Това същото издание отстранява и изтичане на 4 байта данни от стека на ядрото чрез TCP клейма за време (timestamps) — броячите, които хостовете прикачват към пакетите за измерване на времето за отиване и връщане. Четири байта не са много, но стек паметта може да съдържа адреси от ядрото, а изтеклият адрес е точно това, от което се нуждае един атакуващ, за да насочи експлойт, заобикаляйки разпределеното на случаен принцип оформление на паметта (ASLR).
Някои корекции пристигат без подробности
NFS (мрежовата услуга за споделяне на файлове) и telnet получават един и същ запис от един ред: „fixed various security issues“ („коригирани са различни проблеми със сигурността“). Нито един от тях не посочва CVE, така че дневникът с промени (changelog) не ви дава възможност да прецените колко сериозни са били те. Ако използвате NFS върху NetBSD 10, липсващите подробности са причина да инсталирате корекциите за сигурност по-рано.
Включеният външен код от трети страни също е обновен. OpenSSL преминава към 3.0.21, Xorg към 21.1.24, а xkbcomp към 1.5.0, всеки от тях заради корекции за сигурност. libXpm приема отстраняване на уязвимости от оригиналните си разработчици за CVE-2026-4367, а DNS резолверът unbound получава корекция за CVE-2025-11411. Ядрото вече налага и проверки за достъп върху устройството /dev/hdaudio.
Обновете в правилната последователност
Зареждането на инсталационен образ и избирането на Upgrade извършва задачата. Администраторите, използващи други методи, трябва първо да обновят ядрото и модулите, да рестартират и след това да обновят потребителското пространство (userspace). URL адресите на хранилищата с пакети се нуждаят от коригиране, всички пакети от трети страни трябва да бъдат обновени, а нов комплект gpufw може да изисква отделна инсталация чрез sysinst.
Хеш стойностите за всеки файл в дистрибуцията са подписани с PGP ключа на отговорника по сигурността (Security Officer) на NetBSD. Проверете ги, преди образът да бъде използван където и да е близо до производствена машина.