Linux Kernel XFS: Use-after-free und Ressourcenleck bei iunlink-Wiederherstellung

Zusammenfassung

Der XFS-Dateisystemcode des Linux-Kernels enthält bei der Wiederherstellung von nicht verlinkten Inodes (xlog_recover_iunlink_bucket) beim Mounten oder beim Replay des Journals mehrere Fehler. Ein Zeiger wird nach der Freigabe nicht zurückgesetzt, was bei einem fehlgeschlagenen inodegc-Flush zu einem Use-after-free führen kann, auf diesem Fehlerpfad wird ein Inode nicht freigegeben, und die Cursor-Behandlung kann Schleifen in der Liste der nicht verlinkten Inodes erzeugen. Ein lokaler Benutzer, der die XFS-Wiederherstellung auslösen kann, etwa durch das Mounten eines präparierten XFS-Images, könnte Speicherschäden verursachen, die zu einem Absturz oder möglicherweise zu einer Rechteerweiterung führen können.

Betroffen

• Linux-Kernel ab Commit 04755d2e5821b3afbaadd09fe5df58d04de36484 bis zu den im CVE-Eintrag aufgeführten Fix-Commits
• Linux-Kernel 6.0 bis (ohne) 6.1.191, 6.6.160, 6.12.113, 6.18.55 und 7.2.9 (gemäss CNA-Daten; 7.3 und neuer standardmässig als betroffen aufgeführt)
• Distributions-Kernel: Ubuntu führt 24.04 LTS und 26.04 LTS als verwundbar sowie linux-hwe-6.8 auf 22.04 LTS; andere Distributionen: Unbekannt.

Behoben in

• Linux-Kernel 6.1.191, 6.6.160, 6.12.113, 6.18.55 und 7.2.9 (Stable-Zweige)
• Ubuntu 24.04 LTS: Fix in Arbeit in 6.8.0-149.149i1
• Ubuntu 26.04 LTS: Fix in Arbeit in 7.0.0-42.42
• Andere Distributionen: Unbekannt.

Umgehung

• Kein Workaround des Herstellers bekannt.
• Lokalen Shell-Zugriff auf Systeme mit XFS einschränken.
• Keine unbekannten oder nicht vertrauenswürdigen XFS-Images auf Produktivsystemen mounten.

Ausnutzung

• Zum Zeitpunkt der Prüfung sind weder Ausnutzung in freier Wildbahn noch ein öffentlicher Proof of Concept bekannt.
• Ubuntu stuft die Lücke als Priorität Mittel ein; der EPSS-Wert ist sehr niedrig (0.00168).

Unsere Empfehlung

• Systeme mit XFS und deren Kernel-Versionen erfassen, insbesondere Dateiserver und Systeme, die externe XFS-Medien mounten.
• Das Kernel-Update des Herstellers mit dem Fix im nächsten regulären Kernel-Update installieren und danach neu starten.
• Lokalen Zugriff auf betroffene Systeme einschränken und das Mounten nicht vertrauenswürdiger XFS-Medien vermeiden.
• Die Sicherheitsmitteilung der eigenen Distribution und den endgültigen CVSS-Wert bei NVD prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux stable commit 47a948ba653a463d429e02fda2f06a3d6b78666d git.kernel.org
• Linux stable commit 65f39d09d73718611cee40399179323b5d4ead00 git.kernel.org
• Linux stable commit 8cfde7b2fb7288f4f6b90293e8702ff897c682fe git.kernel.org
• Ubuntu security tracker CVE-2026-98443 ubuntu.com
• OSV CVE-2026-98443 osv.dev
• Red Hat CVE entry via Vulners vulners.com
• NVD entry via Vulners vulners.com
• Strix CVE-2026-98443 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:47.