util-linux libblkid: Ganzzahlüberlauf bei der Verarbeitung erweiterter DOS-Partitionen

Zusammenfassung

Die Bibliothek libblkid in util-linux berechnet die Startsektoren erweiterter DOS-Partitionen mit 32-Bit-Arithmetik, ohne die ersten beiden EBR-Einträge vollständig zu prüfen. Ein lokaler Angreifer, der ein präpariertes DOS-Disk-Image oder ein Wechselmedium einlesen lässt, kann bewirken, dass libblkid eine falsche Partition meldet, die den MBR überlappt. Betroffen ist die Integrität der gemeldeten Partitionsmetadaten; eine Änderung von Datenträgern oder ein Verfügbarkeitsverlust setzt voraus, dass ein nachgelagertes Werkzeug diese Metadaten verarbeitet.

Betroffen

• util-linux-Versionen vor 2.41.4 (CVE-Eintrag)
• Die Advisory des Upstreams nennt betroffene Versionen <= 2.41 mit gepatchter Version 2.42; der Versionskonflikt ist noch nicht geklärt
• Status der Distributionen: Debian 12 (bookworm) 2.38.1-5+deb12u3 als verwundbar gelistet; Ubuntu 22.04, 24.04 und 26.04 in den Versionen aus USN-8702-1 behoben; Red Hat Enterprise Linux 7 bis 10 betroffen, keine ausgelieferte Korrektur gefunden

Behoben in

• util-linux 2.41.4 (CVE-Eintrag); anhand der Release-Notes prüfen, da die Upstream-Advisory 2.42 nennt
• Debian trixie: 2.41.5-0+deb13u1; forky/sid: 2.42.3-1
• Ubuntu 26.04: 2.41.3-3ubuntu2.2; 24.04: 2.39.3-9ubuntu6.6; 22.04: 2.37.2-4ubuntu3.6

Umgehung

• Unbekannt. Es gibt keine vom Hersteller dokumentierte Workaround-Massnahme; das Patchen ist die Behebung.
• Übergangsmassnahme: Untrusted USB-Sticks oder Disk-Images nicht automatisch einlesen lassen und das automatische Einbinden von Wechselmedien deaktivieren, wo es nicht benötigt wird.

Ausnutzung

• Keine Hinweise auf Ausnutzung in den Quellen; laut Recherche nicht im CISA-KEV-Katalog gelistet.
• Kein öffentlicher Proof of Concept gefunden; dies ist eine Lücke der Suche, kein belegtes Fehlen.
• EPSS in einem SUSE-basierten Eintrag mit 0.00178 angegeben.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.

Unsere Empfehlung

• libblkid bzw. util-linux auf die behobene Version Ihrer Distribution aktualisieren, zuerst Systeme mit Debian 12 (bookworm).
• Linux-Arbeitsplätze mit automatischem Einbinden und Systeme, die externe Datenträger verarbeiten, priorisieren.
• Server und Arbeitsplätze nicht automatisch untrusted USB-Sticks oder Disk-Images einlesen lassen, bis sie gepatcht sind.
• Die Sicherheitsmeldung Ihrer Distribution für die genaue behobene Paketversion prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• GitHub advisory GHSA-h4rw-gv36-wmp5 github.com
• Fix commit a2d858176b609ab5b8535021a3af9cd302d23d31 github.com
• Fix commit 05c2dbadf34cc74192287f377904afaaf4061623 github.com
• util-linux release v2.41.4 github.com
• Red Hat CVE page access.redhat.com
• Ubuntu security notice ubuntu.com
• Debian security tracker security-tracker.debian.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 21:21.