Linux-Kernel: Lesezugriff ausserhalb des Speicherbereichs bei SMB-Client-POSIX-SID-Parsing

Zusammenfassung

Der SMB/CIFS-Client des Linux-Kernels prüft in parse_posix_sids() die vom Server gelieferte Längenangabe nicht gegen den empfangenen Puffer. Ein bösartiger oder kompromittierter SMB-Server kann einen überhöhten Längenwert senden und dadurch Lesezugriffe ausserhalb des Speicherbereichs im angrenzenden Kernel-Speicher verursachen. Der Angriff erfordert, dass ein Linux-Client sich mit einem bösartigen Server verbindet, und laut den Quellen ist eine Benutzerinteraktion erforderlich.

Betroffen

• Linux-Kernel-Versionen gemäss CNA-Daten: 6.6.32 bis vor 6.6.158 sowie die Serien 6.7 und 6.8 bis zu den jeweiligen korrigierten Versionen
• Die Versionsbereiche in OSV- und CNA-Daten unterscheiden sich und werden von Distributionen zurückportiert; den genauen Status entnehmen Sie dem Advisory der Distribution.
• Betroffene Kernel-Versionen mit aktivierter CIFS/SMB-Client-Unterstützung

Behoben in

• Korrigierte Upstream-Versionen: 6.6.158, 6.12.112, 6.18.54, 7.2.8
• Distributions-Kernel: Verwenden Sie das korrigierte Paket Ihrer Distribution. Für einzelne Releases unbekannt, da die Quellen den Status nicht bestätigen.

Umgehung

• Keine Workaround des Herstellers dokumentiert.
• Das Entladen des cifs-Moduls auf Systemen, die keine SMB-Mounts benötigen, entfernt den betroffenen Codepfad (eigene Empfehlung, nicht aus einer Herstellerquelle).

Ausnutzung

• Unbekannt. In den Quellen wurde weder ein öffentlicher Exploit noch eine aktive Ausnutzung gefunden.

Unsere Empfehlung

• Ermitteln Sie Systeme mit Linux-Kerneln, die den SMB/CIFS-Client verwenden, und prüfen Sie deren Kernel-Versionen.
• Installieren Sie den korrigierten Kernel Ihrer Distribution oder das Upstream-Stable-Release und starten Sie neu.
• Deaktivieren Sie das cifs-Modul, wo keine SMB-Mounts benötigt werden.
• Binden Sie bis zur Installation des Patches nur SMB-Shares von vertrauenswürdigen Servern ein.
• Verfolgen Sie die Sicherheitsadvisories des Kernels und Ihrer Distribution auf Updates.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• OSV: CVE-2026-98405 osv.dev
• Kernel.org stable commit 2f8ed71a git.kernel.org
• Kernel.org stable commit b09d092e git.kernel.org
• Kernel.org stable commit b862996e git.kernel.org
• Kernel.org stable commit d91b9a3b git.kernel.org
• Kernel.org stable commit eac6917a git.kernel.org
• Ubuntu security notice CVE-2026-98405 ubuntu.com
• Red Hat CVE record via Vulners vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:07.