xfsprogs xfs_admin: Lokale Rechteerweiterung durch Command Injection
Zusammenfassung
Das Dienstprogramm xfs_admin in xfsprogs, den Userspace-Werkzeugen für das XFS-Dateisystem, validiert vom Benutzer gelieferte Parameter nicht ausreichend, was eine Command Injection auf Betriebssystemebene ermöglicht. Ein lokaler Angreifer, der Parameter an xfs_admin übergeben kann, kann beliebige Befehle mit den Rechten des ausführenden Prozesses ausführen, was zu einer lokalen Rechteerweiterung führen kann. Das Ausmass hängt davon ab, wie xfs_admin aufgerufen wird; auf Standardinstallationen von Red Hat Enterprise Linux ist das Werkzeug auf administrative Konten beschränkt.
Betroffen
- Red Hat Enterprise Linux 7, 8, 9 und 10 (Standard: betroffen)
- Red Hat OpenShift Container Platform 4 und 5 (Standard: betroffen)
- Betroffene upstream xfsprogs-Versionen: Unbekannt.
Behoben in
Unbekannt. Zum Zeitpunkt der Erstellung ist kein Herstellerfix bestätigt.
Umgehung
- Keine untrusted oder benutzergesteuerten Eingaben an xfs_admin übergeben.
- Einschränken, wer xfs_admin ausführen kann, und Sudo-Regeln sowie Skripte, die es aufrufen, prüfen.
- Red Hat gibt an, dass derzeit keine Mitigation verfügbar ist, die deren Kriterien erfüllt.
Ausnutzung
- Keine bestätigte Ausnutzung in freier Wildbahn.
- Kein öffentlicher Proof-of-Concept oder Exploit-Code gefunden.
- Nicht in der CISA KEV gelistet.
Unsere Empfehlung
- Hosts mit xfsprogs inventarisieren und feststellen, wo xfs_admin ausgeführt wird.
- Sudo-Regeln, Skripte und Automatisierungen prüfen, die externe oder benutzergesteuerte Werte an xfs_admin übergeben.
- Die Nutzung von xfs_admin auf vertrauenswürdige Administratoren beschränken.
- Die Red Hat CVE-Seite und Errata auf einen Fix überwachen und diesen nach Veröffentlichung einspielen.
- Den Status direkt auf der Red Hat CVE-Seite verifizieren, da die NVD-Analyse noch aussteht.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Red Hat CVE record CVE-2026-108472 access.redhat.com
- Red Hat Bugzilla 2548925 bugzilla.redhat.com
- CVE.org record CVE-2026-108472 www.cve.org
- Debian manpage xfs_admin(8) manpages.debian.org
- Debian tracker xfsprogs tracker.debian.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 20:30.
Referenzen der NVD (8)
- https://access.redhat.com/errata/RHSA-2026:99659
- https://access.redhat.com/errata/RHSA-2026:99660
- https://access.redhat.com/errata/RHSA-2026:99661
- https://access.redhat.com/errata/RHSA-2026:99662
- https://access.redhat.com/errata/RHSA-2026:99817
- https://access.redhat.com/security/cve/CVE-2026-108472
- https://bugzilla.redhat.com/show_bug.cgi?id=2548925
- http://www.openwall.com/lists/oss-security/2026/11/11/27
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.