Questa release corregge CVE-2026-XXXX, una vulnerabilità ad alta gravità di escalation locale dei privilegi nell’helper privilegiato bastionguard-firewall, presente in BastionGuard 2.0 e 2.0.1.

Gravità

• CVSS v4.0: 8.5 High
• Vettore CVSS: CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
• CWE: CWE-78 — Improper Neutralization of Special Elements used in an OS Command

Tutti gli utenti che utilizzano BastionGuard 2.0 o 2.0.1 devono aggiornare immediatamente.

Problema di sicurezza

L’helper firewall interessato veniva installato con permessi setuid root ed elaborava le voci della blacklist firewall attraverso un file temporaneo con nome prevedibile.

La combinazione tra validazione insufficiente dell’input ed esecuzione dei comandi tramite shell avrebbe potuto consentire a un utente locale non privilegiato di eseguire comandi arbitrari con privilegi di root.

Miglioramenti di sicurezza in BastionGuard 2.0.2

• I permessi setuid root sono stati rimossi da bastionguard-firewall.
• L’esecuzione privilegiata richiede ora l’autorizzazione tramite pkexec.
• L’esecuzione dei comandi firewall attraverso la shell è stata eliminata.
• Gli strumenti firewall vengono eseguiti con percorsi fissi e argomenti separati.
• Ogni indirizzo IPv4 e IPv6 viene validato prima dell’utilizzo.
• Opzioni, spazi, sintassi della shell e input non supportati vengono rifiutati.
• I file temporanei vengono generati, aperti e verificati in modo sicuro.
• Gli attacchi tramite collegamenti simbolici e sostituzione dei file temporanei vengono impediti.
• La correzione è sincronizzata in tutte le configurazioni ufficiali dei pacchetti.

BastionGuard 2.0.2 applica inoltre un hardening a bastionguard-privhelper, utilizzato dai controlli della privacy per webcam e microfono. L’helper non utilizza più permessi setuid root o comandi eseguiti tramite shell e tutti i punti dell’applicazione che lo richiamano utilizzano ora pkexec.

Le modifiche a bastionguard-privhelper costituiscono hardening aggiuntivo e non devono essere considerate automaticamente parte di CVE-2026-XXXX, salvo diversa indicazione nel record CVE definitivo.

Ulteriori correzioni

BastionGuard 2.0.2 include tutte le correzioni precedentemente pubblicate con BastionGuard 2.0.1, compresa la correzione del flusso di quarantena ransomware in tempo reale.

Versioni interessate e corrette

Disponibilità dei repository e dei pacchetti

Tutti i repository ufficiali BastionGuard sono completamente sincronizzati, aggiornati e completi per ogni distribuzione Linux supportata.

Soltanto i file APKBUILD ed ebuild continuano a essere distribuiti attraverso il download manager BastionGuard.

Aggiorna ora

Scarica BastionGuard 2.0.2

Consulta i repository ufficiali BastionGuard

Installa BastionGuard dai repository Linux ufficiali

Versioni precedenti di BastionGuard

Ringraziamo il ricercatore di sicurezza che ha comunicato responsabilmente il problema e ha consentito di coordinare questa release di sicurezza.