De FreeBSD‑gemeenschap heeft meerdere kwetsbaarheden in de bhyve‑hypervisor opgelost. Het gaat om fouten in verschillende “device models” die een kwaadwillende gast‑VM kan misbruiken om de bhyve‑proces te laten crashen (DoS) of, in het ernstigste geval, om code uit te voeren in de gebruikersruimte van de host. De fixes zijn uitgebracht op 14 oktober 2026 voor de ondersteunde 14‑ en 15‑takken van FreeBSD. Het herstarten van alle draaiende VM’s of een systeemreboot is vereist nadat je hebt geüpdatet. (freebsd.org)

Wat er misging, in het kort

• USB 3 (xHCI): de event‑ringgrootte en bepaalde TRB‑velden werden onvoldoende gevalideerd en konden door de gast tussentijds worden aangepast. Dat creëerde race conditions waardoor geheugen kon worden overschreven. (freebsd.org)
• HDA‑audio: bij het starten van een stream werden zero‑length Buffer Descriptor List‑items niet correct tegengehouden. Dat leidde tot out‑of‑bounds geheugen­toegang tijdens DMA‑verwerking. (freebsd.org)
• Framebuffer (VNC/RFB): maximum­resolutie‑constanten raakten uit sync tussen modules en resolutie­parameters werden niet strikt gevalideerd; bovendien ontbrak de juiste synchronisatie tussen I/O en rendering. Gevolg: mogelijke geheugen­corruptie en crashes. (freebsd.org)

Impact

• Alleen hosts die bhyve gebruiken zijn kwetsbaar; andere hypervisors worden niet geraakt. De schade is bovendien deels begrensd door bhyve’s Capsicum‑sandbox, maar die elimineert het risico niet. (freebsd.org)
• VM’s zonder de xHCI‑, HDA‑ en framebuffer‑devices vallen buiten de risicoscope van deze specifieke fouten. (freebsd.org)

Waarom dit nu?
De afgelopen jaren is bhyve intensief doorgelicht, mede dankzij een code‑audittraject dat door de FreeBSD Foundation en het Alpha‑Omega‑project is ondersteund. Die audits brachten kwetsbaarheids­klassen in kaart, wat leidde tot een reeks verbeteringen en advisories, waaronder een eerdere bhyve‑ronde in oktober 2024. De huidige fixes passen in die bredere hardeningslag. (freebsd.org)

Wat is er precies gefikst?
Naast de security‑advisory zijn in de broncode concrete correcties doorgevoerd. Voor xHCI is het beheer van de event ring en de “fill count” aangescherpt, zodat het systeem consistente groottes aanhoudt en geen events overschrijft wanneer de ring bijna vol is. Voor de framebuffer is de afhandeling van het wijzigen van de resolutie strikter gemaakt. Deze wijzigingen verkleinen het aanvalsoppervlak en voorkomen race conditions. (reviews.freebsd.org)

Wat moet je nu doen?

• Update je FreeBSD‑systeem naar een release met de fixes (14.5‑RELEASE‑p2, 14.4‑RELEASE‑p11 of de corresponderende stable‑takken, uitgegeven op 14 oktober 2026). Herstart alle VM’s of reboot de host. (freebsd.org)
• Kun je niet meteen patchen? Verminder dan tijdelijk het risico door in kwetsbare VM’s de genoemde devices niet te emuleren (geen xHCI, HDA of framebuffer). Let op: er is officieel geen volledige workaround; updaten blijft noodzakelijk. (freebsd.org)

Context voor beheerders

• In 2024 onderging bhyve al een serie verbeteringen na bevindingen in device‑emulatie (o.a. NVMe, virtio en HDA). Wie sinds die tijd niet structureel heeft geüpdatet, loopt extra risico en zou nu prioriteit moeten geven aan patchbeheer. (freebsd.org)
• Houd de FreeBSD‑securitypagina en advisories in de gaten; daar vind je per release­tak de status en updates. (freebsd.org)

Bottom line
Draai je bhyve op FreeBSD, dan is dit een patch‑nu‑actie. Installeer de updates van 14 oktober 2026, herstart je VM’s en vermijd het emuleren van de genoemde devices totdat je volledig bent bijgewerkt. Zo beperk je het risico op crashes en mogelijke code‑uitvoering vanuit een malafide gast‑VM. (freebsd.org)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.