Linux-Kernel HID-Steam-Treiber: Unzureichende Ressourcenbereinigung beim Beenden
Zusammenfassung
Der HID-Treiber des Linux-Kernels für hardware von Valve Steam Controller (hid-steam) kann nach dem Beenden des Steam-Objekts ein verbleibendes power_supply-Objekt hinterlassen, weil nach einer früheren Umstrukturierung ein Schritt zur Abmeldung der Batterie fehlte. Der CVSS-Vektor ist lokal, verlangt niedrige Privilegien und bewertet die Auswirkungen als hoch, die Beschreibung beschreibt jedoch einen Fehler im Lebenszyklus von Ressourcen ohne konkreten Pfad zur Codeausführung. Ein Angreifer braucht ein lokales Konto oder eine Möglichkeit, den Treiber auszulösen; eine Ausnutzung oder ein öffentlicher Proof of Concept wurde nicht gefunden.
Betroffen
- Linux-Kernel mit dem Treiber hid-steam; der CNA-Eintrag nennt betroffene Commits ab 385a4886778f6d6e61eff1d4d295af332d7130e1 und einen Bereich 4.19.6 bis < 4.20
- Die Quellen nennen keinen eindeutigen und einheitlichen betroffenen Versionsbereich; für Ihren Kernel-Zweig prüfen
- Systeme ohne Steam-Controller-Hardware sind weniger relevant
Behoben in
- Stabile Kernel-Zweige laut OSV: 5.10.273, 5.15.224, 6.1.191, 6.6.160, 6.12.113, 6.18.57, 7.2.11
- Im Mainline-Kernel durch die im CVE-Eintrag genannten Commits behoben
- Die behobene Version für das Kernel-Paket Ihrer Distribution bestätigen
Umgehung
- Keine Workaround-Massnahme des Herstellers gefunden.
- Falls keine Steam-Controller-Hardware verwendet wird, kann das Sperren des Moduls hid_steam die Exposition verringern; dies wurde nicht gegen eine Quelle verifiziert und sollte vorab getestet werden.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- Kein öffentlicher Proof of Concept gefunden.
- EPSS-Wert laut Angabe 0.00175 (sehr niedrig).
Unsere Empfehlung
- Das Kernel-Update im nächsten regulären Wartungszyklus einplanen.
- Mehrbenutzersysteme, Gaming-PCs und Arbeitsstationen mit angeschlossener Steam-Controller-Hardware priorisieren.
- Prüfen, ob Ihre Distribution einen Kernel mit dem Fix veröffentlicht hat, und diesen installieren.
- Nach dem Update neu starten, damit der neue Kernel aktiv ist.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Linux stable commit 2b15e10a git.kernel.org
- Linux stable commit 6e44418d git.kernel.org
- Linux stable commit 6f9b740c git.kernel.org
- Linux stable commit bdfad775 git.kernel.org
- Ubuntu security tracker CVE-2026-98944 ubuntu.com
- OSV record via Vulners vulners.com
- NVD record via Vulners vulners.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:37.
Referenzen der NVD (8)
- https://git.kernel.org/stable/c/2b15e10aff95c78dbacc4fa32fa90c9098213e03
- https://git.kernel.org/stable/c/39568571aee4f5499a6d254812fe4b75dc3d4ace
- https://git.kernel.org/stable/c/3c2f97343d4df2a75747f4c79effa0587509888f
- https://git.kernel.org/stable/c/6e44418d3a06f023877959cc6dd7386ec7f64d59
- https://git.kernel.org/stable/c/6f9b740c31ba7e061b2ebb330d9a3d63f1358f29
- https://git.kernel.org/stable/c/bdfad7759fef1a5d8be9bacee3c72ce40f148b63
- https://git.kernel.org/stable/c/c06cf54fe99b8c6bcf2017bb076c0e3918608cea
- https://git.kernel.org/stable/c/cf71a6ee1d4e36b8e65b81c064e2797a10247280
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.