Kategoria: rdzeń
Moduł: if_wg
Ogłoszono: 2026-07-29
Kredyty: Reo Shiseki
Dotyczy: wszystkich obsługiwanych wersji FreeBSD.
Poprawiono: 2026-07-29 17:48:41 UTC (stabilna/15, 15.1-STABLE)
2026-07-29 17:50:34 UTC (relen/15.1, 15.1-RELEASE-p2)
2026-07-29 17:50:08 UTC (relen/15.0, 15.0-RELEASE-p12)
2026-07-29 17:49:02 UTC (stabilna/14, 14.4-STABLE)
2026-07-29 17:49:36 UTC (releng/14.4, 14.4-RELEASE-p8)
Nazwa CVE: CVE-2026-58085
Aby uzyskać ogólne informacje dotyczące ostrzeżeń dotyczących bezpieczeństwa FreeBSD, w tym:
opisy pól powyżej, gałęzi zabezpieczeń i następujących
Aby zapoznać się z sekcjami, odwiedź .
I. Tło
wg(4) to sterownik jądra implementujący protokół VPN WireGuard.
wykorzystuje ChaCha20-Poly1305, uwierzytelniony schemat szyfrowania, w celu ochrony tunelu
ruchu. Kod uwierzytelniania wiadomości Poly1305 (MAC) osadzony w każdym
pakiet danych pozwala odbiorcy sprawdzić, czy pakiet nie został wysłany
zostały naruszone podczas transportu.
Struktura OpenCrypto (OCF) zapewnia ogólny interfejs do jądra
implementacja różnych transformacji kryptograficznych. Konsumenci przesyłają
żądanie za pośrednictwem crypto_dispatch(), a OCF kieruje żądanie do określonego
implementacja żądanej transformacji.
II. Opis problemu
Po wysłaniu operacji odszyfrowania do OCF i otrzymaniu wyniku,
Sterownik wg(4) nie sprawdził, czy weryfikacja adresu MAC zakończyła się powodzeniem.
Sterownik w ten sposób po cichu akceptował pakiety z nieprawidłowym Poly1305
znacznik uwierzytelniania.
III. Wpływ
Zdalny atakujący, który może wysyłać pakiety UDP do punktu końcowego WireGuard i który
może odgadnąć granice okna odtwarzania odbiornika, może wstrzyknąć sfałszowane lub
zmodyfikowane pakiety danych transportowych do tunelu.
Zdalny atakujący, który może przechwytywać pakiety WireGuard przeznaczone dla systemu FreeBSD
host może modyfikować tekst zaszyfrowany i uwierzytelnione dane bez wykrycia przez
Odbiornik.
IV. Obejście problemu
Nie ma obejścia. Systemy nie korzystające z wg(4) nie są zagrożone.
V. Rozwiązanie
Zaktualizuj swój podatny system do obsługiwanej stabilnej wersji FreeBSD lub
wydanie/oddział bezpieczeństwa (releng) datowane po dacie korekty,
i uruchom ponownie system.
Wykonaj jedną z następujących czynności:
1) Aby zaktualizować podatny na ataki system zainstalowany z pakietów systemu bazowego:
Systemy z wersją FreeBSD 15.0-RELEASE lub nowszą na procesorze amd64 lub
platformy arm64, które zostały zainstalowane przy użyciu pakietów systemu bazowego, mogą być
aktualizowane za pomocą narzędzia pkg(8):
aktualizacja pkg -r FreeBSD-base
shutdown -r +10min „Ponowne uruchomienie w celu pobrania aktualizacji zabezpieczeń”
2) Aby zaktualizować podatny na ataki system zainstalowany z binarnych pakietów dystrybucyjnych:
Systemy z uruchomioną wersją FreeBSD RELEASE na platformach amd64 lub arm64
które nie zostały zainstalowane przy użyciu pakietów systemu bazowego, można zaktualizować za pomocą
Narzędzie freebsd-update(8):
freebsd-update pobierz
instalacja freebsd-update
shutdown -r +10min „Ponowne uruchomienie w celu pobrania aktualizacji zabezpieczeń”
3) Aby zaktualizować podatny na ataki system za pomocą poprawki kodu źródłowego:
Potwierdzono, że poniższe poprawki mają zastosowanie w odpowiednich systemach
Gałęzie wydań FreeBSD.
a) Pobierz odpowiednią poprawkę z poniższej lokalizacji i zweryfikuj
odłączony podpis PGP przy użyciu narzędzia PGP.
[FreeBSD 15.x]
pobierz https://security.FreeBSD.org/patches/SA-26:52/if_wg-15.patch
pobierz https://security.FreeBSD.org/patches/SA-26:52/if_wg-15.patch.asc
gpg –weryfikuj if_wg-15.patch.asc
[FreeBSD 14.x]
pobierz https://security.FreeBSD.org/patches/SA-26:52/if_wg-14.patch
pobierz https://security.FreeBSD.org/patches/SA-26:52/if_wg-14.patch.asc
gpg –weryfikuj if_wg-14.patch.asc
b) Zastosuj poprawkę. Wykonaj następujące polecenia jako root:
cd /usr/src
patch -E -p0 < /ścieżka/do/łatki
c) Skompiluj ponownie jądro zgodnie z opisem w
i uruchom ponownie
system.
VI. Szczegóły korekty
Ten problem został rozwiązany w odpowiednim haśle zatwierdzenia Git
następujące gałęzie stabilne i wydania:
Rewizja skrótu gałęzi/ścieżki
stabilna/15/ 4c40cb62935f stabilna/15-n284645
releng/15.1/ b0254d23f508 releng/15.1-n283592
releng/15.0/ 13be8d6d86f3 releng/15.0-n281095
stabilna/14/ 825c6f45b147 stabilna/14-n274644
releng/14.4/ b20841b47153 releng/14.4-n273751
Uruchom poniższe polecenie, aby zobaczyć, które pliki zostały zmodyfikowane przez
szczególne zatwierdzenie:
git show –stat
Lub odwiedź poniższy adres URL, zastępując NNNNNN hashem:
Aby określić liczbę zatwierdzeń w drzewie roboczym (w celu porównania z
nNNNNNN w tabeli powyżej), uruchom: