CVE-2026-58264 в Ubuntu: heap-based buffer overrun в FluidSynth, уязвимые версии и проверка исправления

CVE: CVE-2026-58264
Продукт: Ubuntu
Дата публикации: 18.09.2026
Критичность: CRITICAL
CVSS: 9.8 (3.1)
EPSS: 0,59%; процентиль 46,70%
CISA KEV: нет подтверждения в каталоге CISA KEV

Краткое описание​

В FluidSynth до версии 2.5.6 обработчик команд принимает pitch_bend_range без проверки диапазона аргумента канала. Из-за этого значение записывается вне границ выделенной области кучи, что приводит к out-of-bounds heap write.

В Ubuntu затронуты пакеты fluidsynth и связанные библиотеки в указанных LTS-релизах. Исправление доступно в версии 2.5.6.

Основные характеристики​

Ошибка — это классический heap-based buffer overrun: значение из команды записывается в память без ограничения диапазона, что может повредить данные или управление процессом.

• Тип ошибки: CWE-122, out-of-bounds heap write в обработчике команд FluidSynth
  
• CVSS 3.1: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, оценка 9.8 CRITICAL
  
• Вектор атаки: удалённый доступ через TCP-сервер FluidSynth или локальный ввод команд в shell на stdin
  
• Факт эксплуатации: в источниках не подтверждено; статус — Received
  
• EPSS: 0,59% (процентиль 46,70%)
  

Какие продукты и версии затронуты​

В Ubuntu затронуты пакеты fluidsynth и связанные библиотеки.

• Ubuntu 14.04 LTS: fluidsynth 1.1.6-2, libfluidsynth1 1.1.6-2
  
• Ubuntu 16.04 LTS: fluidsynth 1.1.6-3, libfluidsynth1 1.1.6-3
  
• Ubuntu 18.04 LTS: fluidsynth 1.1.9-1, libfluidsynth1 1.1.9-1
  
• Ubuntu 20.04 LTS: fluidsynth 2.1.1-2, libfluidsynth2 2.1.1-2
  
• Ubuntu 22.04 LTS: fluidsynth 2.2.5-1, libfluidsynth3 2.2.5-1
  
• Ubuntu 24.04 LTS: fluidsynth 2.3.4-1build3, libfluidsynth3 2.3.4-1build3
  
• Ubuntu 26.04 LTS: fluidsynth 2.4.8+dfsg-1, libfluidsynth3 2.4.8+dfsg-1
  

Причина уязвимости​

Обработчик команд FluidSynth принимает команду pitch_bend_range и использует аргумент канала без проверки границ.

Значение канала передаётся напрямую в запись через выбранный synth channel. Если значение выходит за пределы ожидаемого диапазона, запись происходит вне выделенной области кучи.

Это нарушает модель памяти: данные могут быть перезаписаны произвольным значением, что приводит к повреждению состояния процесса или возможному выполнению кода.

Как работает атака​

Атака использует саму команду FluidSynth как входную точку. Обработчик команд не валидирует диапазон аргумента канала для pitch_bend_range.

При удалённом доступе TCP-сервер, включённый через new_fluid_server() или флаг -s, принимает команды от сети. При локальном доступе вредоносные команды передаются в shell FluidSynth через standard input.

После получения команды значение канала записывается в память без ограничения. Если запись попадает в область, содержащую указатели или управляющие данные процесса, состояние может быть изменено произвольно.

Условия успешной эксплуатации​

Для удалённой эксплуатации необходимо, чтобы FluidSynth работал с включённым TCP-сервером.

• Сервер запущен через new_fluid_server() или fluidsynth -s
  
• Атакуящий имеет сетевой доступ к порту сервера
  
• Обработчик команд активен и принимает входящие команды
  

Для локальной эксплуатации достаточно доступа к stdin FluidSynth shell.

• Процесс FluidSynth запущен с shell или принимает команды из standard input
  
• Атакуящий может передать вредоносные команды в процесс
  
• Пакет fluidsynth установлен и содержит уязвимую версию до 2.5.6
  

Возможный сценарий атаки​

Сценарий предполагает, что FluidSynth запущен как TCP-сервер или принимает команды из stdin.

Атакуящий отправляет команду pitch_bend_range с аргументом канала вне ожидаемого диапазона. Обработчик не проверяет значение и записывает его в память через выбранный synth channel.

Запись происходит за пределами выделенной области кучи. Если затронуты управляющие данные процесса, возможна перезапись указателей или полей структуры, что ведёт к изменению поведения программы.

Результат может быть denial of service или возможное выполнение кода в контексте процесса FluidSynth.

Есть ли публичный эксплойт​

В предоставленных источниках нет подтверждения публичного эксплойта, PoC или реальной эксплуатации CVE-2026-58264.

Статус CVE — Received. В NVD и Ubuntu OSV указаны только техническое описание ошибки, затронутые версии и ссылка на исправление в FluidSynth 2.5.6.

Отсутствие сведений в источниках не означает отсутствие эксплойта; это означает, что подтверждённые данные о публичном использовании или PoC в данном пакете доказательств отсутствуют.

Признаки эксплуатации​

Специфичных IOC для CVE-2026-58264 в источниках не подтверждено.

Ниже приведены общие точки контроля, которые можно использовать при расследовании подозрительной активности FluidSynth. Они неспецифичны и требуют дополнительной проверки контекста.

• Процесс fluidsynth запущен с флагом -s или использует TCP-порт
  
• Входящие сетевые соединения к процессу FluidSynth
  
• Записи в stderr/stdout процесса, содержащие команды pitch_bend_range
  
• Аномальные изменения памяти процесса FluidSynth при обработке команд
  
• Непривычные дочерние процессы или вызовы системных функций из процесса FluidSynth
  

Как обнаружить атаку​

Для обнаружения атаки на CVE-2026-58264 можно использовать мониторинг процессов и сетевой трафик.

• Проверить, запущен ли fluidsynth с TCP-сервером: ps aux | grep fluidsynth
  
• Отслеживать входящие соединения к порту FluidSynth в firewall или netstat/ss
  
• Смотреть логи процесса на команды pitch_bend_range с необычными значениями канала
  
• Использовать eBPF или процессный мониторинг для записи вне ожидаемых областей памяти
  
• Проверить версии пакетов через apt-cache policy fluidsynth
  

Если FluidSynth не использует shell, command handler или TCP server, атака по описанию CVE не применима.

Как проверить свою версию​

Проверьте версию Ubuntu и установленные пакеты.

• Версия системы:
  

cat /etc/os-release
uname -r

• Пакет fluidsynth:
  

apt-cache policy <имя-пакета>

Замените <имя-пакета> на fluidsynth или конкретный пакет, например libfluidsynth3.

• Статус безопасности Ubuntu:
  

ubuntu-security-status

Если команда не доступна, используйте apt list --upgradable | grep fluidsynth для проверки наличия обновлений.

Исправление​

Исправление доступно в FluidSynth версии 2.5.6.

• Обновите пакет fluidsynth до версии, содержащей исправление: sudo apt update && sudo apt upgrade fluidsynth
  
• Если пакет не обновляется из репозиториев Ubuntu, установите версию 2.5.6 вручную из исходников или официального релиза FluidSynth
  
• Перезапустите процесс FluidSynth после обновления
  
• Проверьте, что TCP-сервер и shell не используют уязвимую версию
  

Официальный список источников будет добавлен программно в конце статьи.

Временные меры защиты​

Пока обновление недоступно, можно ограничить поверхность атаки.

• Отключите TCP-сервер FluidSynth, если он не нужен: уберите флаг -s или вызов new_fluid_server()
  
• Запретите сетевой доступ к порту FluidSynth через firewall, если сервер не используется удалённо
  
• Ограничьте вход в stdin shell FluidSynth до доверенных процессов
  
• Запустите FluidSynth с минимальными правами, чтобы снизить влияние возможного повреждения памяти
  
• Отключите обработку команд pitch_bend_range, если это возможно в конфигурации приложения
  

Как проверить устранение уязвимости​

После обновления проверьте версию пакета и состояние безопасности.

apt-cache policy fluidsynth

Убедитесь, что установленная версия не ниже 2.5.6 или содержит исправление из Ubuntu security update.

Проверьте статус через:

ubuntu-security-status

Если пакет обновлён, перезапустите FluidSynth и убедитесь, что TCP-сервер работает на новой версии.

Для дополнительной проверки можно запустить fluidsynth --version и убедиться, что вывод соответствует исправленной версии.

Вывод​

CVE-2026-58264 — это heap-based buffer overrun в FluidSynth до версии 2.5.6, вызываемый отсутствием проверки диапазона аргумента канала в команде pitch_bend_range. Ошибка позволяет удалённую атаку через TCP-сервер или локальную через stdin.

В Ubuntu затронуты пакеты fluidsynth и libfluidsynth1/2/3 в указанных LTS-релизах. Исправление доступно в версии 2.5.6. Если FluidSynth не использует shell, command handler или TCP server, атака по описанию CVE не применима.

Рекомендуется обновить пакет и проверить статус безопасности через ubuntu-security-status.

Официальные источники​

1. NVD — CVE-2026-58264
   
2. Ubuntu OSV — CVE-2026-58264
   
3. FIRST EPSS — CVE-2026-58264
   

История обновлений статьи​

• 20.09.2026 — Опубликована первая версия материала.
  
• 23.09.2026 — Уточнены сведения об уязвимых версиях, оценке риска или исправлении.