Intel Metrics Discovery API: Denial of Service durch fehlerhafte Null-Terminierung
Zusammenfassung
Die Application Programming Interface Metrics Discovery von Intel, eine Benutzermodus-Bibliothek für GPU-Leistungsdaten, enthält einen Fehler bei der Null-Terminierung (CWE-170). Ein lokaler Benutzer mit einem gültigen Konto mit niedrigen Berechtigungen kann einen Denial of Service des lokalen Prozesses oder Hosts auslösen. Der Angriff hat eine hohe Komplexität und erfordert keine Benutzerinteraktion. Vertraulichkeit und Integrität sind nicht betroffen.
Betroffen
- Intel(R) Metrics Discovery Application Programming Interface Versionen vor 1.16.189
- Linux-Systeme oder Werkzeuge, die diese Bibliothek enthalten (nachgelagerte Builds nicht bestätigt)
Behoben in
- Version 1.16.189 oder neuer gemäss Intel-Advisory INTEL-SA-01565
- Versionen der Paketen nachgelagerter Distributionen: Unbekannt.
Umgehung
- Unbekannt. Es wurde kein Workaround vom Hersteller veröffentlicht.
- Bis zum Patch den lokalen Zugriff auf betroffenen Hosts auf vertrauenswürdige Benutzer beschränken (allgemeine Empfehlung eines Drittanbieter-Aggregators, nicht von Intel).
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof-of-Concept gefunden.
- Zum Zeitpunkt der Recherche nicht im CISA-KEV-Katalog aufgeführt.
- EPSS unter 1%.
Unsere Empfehlung
- Linux-Hosts und Images mit der Metrics-Discovery-Bibliothek inventarisieren, insbesondere Mehrbenutzer-Hosts, Entwickler- oder Render-Workstations und CI-Runner.
- Auf Version 1.16.189 oder neuer aktualisieren bzw. den korrigierten Build der Distribution installieren, sobald verfügbar.
- CVE-2026-63018 (gleiche Produktversion und Korrekturversion) gleichzeitig patchen.
- INTEL-SA-01565 auf Aktualisierungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Intel Security Advisory INTEL-SA-01565 intel.com
- OpenCVE: CVE-2026-60141 app.opencve.io
- Intel Metrics Discovery on GitHub github.com
- Intel Security Center www.intel.com
- OpenCVE: CVE-2026-63018 (sibling CVE) app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 19:47.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.