Linux-Kernel btrfs: Xattr-Korruption beim Ersetzen von Werten in gepackten Einträgen

Zusammenfassung

Eine Schwachstelle im Dateisystem btrfs des Linux-Kernels behandelt erweiterte Attribute (Xattrs), die sich einen Verzeichniseintrag teilen, fehlerhaft. Wird der Wert eines solchen Xattrs durch einen Wert anderer Grösse ersetzt, bleiben die Metadaten inkonsistent. Dadurch können Xattrs verschwinden und ein Transaction Abort mit Dateisystemkorruption ausgelöst werden. Als Auslöser beschrieben ist ein lokaler Benutzer oder Prozess, der setxattr auf einem btrfs-Volume aufruft, oder das Einbinden eines nicht vertrauenswürdigen btrfs-Images. Der in den CVE-Daten angegebene CVSS-Wert 9.8 passt nicht zu diesem lokalen Auslöser; die beschriebenen Auswirkungen betreffen Integrität und Verfügbarkeit.

Betroffen

• Linux-Kernel mit btrfs, ab Commit 5f5bc6b1e2d5a6f827bc860ef2dc5b6f365d1339, gemäss CNA-Eintrag
• Genaue Bereiche pro Branch sind nicht verifiziert; die Quellen unterscheiden sich, bitte das Advisory der Distribution prüfen

Behoben in

• Behoben in den Stable-Kernels 6.6.160, 6.12.113, 6.18.57 und 7.2.11 sowie neueren Versionen (gemäss OSV und CNA-Eintrag)
• Upstream-Fix-Commits: 5877d713, 7a53bb46, 858bee1c, a97114b9, c1803697
• Behobene Versionen der Distributionen: Unbekannt.

Umgehung

Unbekannt.

• Bis zum Patch die Benutzer einschränken, die Xattrs auf btrfs-Volumes schreiben können, und keine nicht vertrauenswürdigen btrfs-Images einbinden.

Ausnutzung

• Keine Ausnutzung in freier Wildbahn in den geprüften Quellen gefunden.
• Die CVE-Beschreibung enthält ein Reproduktionsskript; weiterer öffentlicher Proof of Concept nicht gefunden.
• EPSS 0.00607 (geringe prognostizierte Ausnutzungswahrscheinlichkeit).
• Laut einem Drittanbieter-Aggregator nicht im CISA-KEV-Katalog; dies kann verzögert sein.

Unsere Empfehlung

• Das Kernel-Update im regulären Patch-Zyklus einplanen und Systeme mit btrfs priorisieren, etwa NAS und Dateiserver.
• Vor dem Rollout die behobene Kernel-Version im Sicherheitsadvisory der Distribution prüfen.
• Einschränken, wer Xattrs auf btrfs-Volumes schreiben darf, und keine nicht vertrauenswürdigen btrfs-Datenträger einbinden.
• btrfs-Logs auf Warnungen wie Zugriffe ausserhalb des Bereichs oder Transaction Aborts prüfen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Linux kernel stable commit 5877d713 git.kernel.org
• Linux kernel stable commit 7a53bb46 git.kernel.org
• Linux kernel stable commit 858bee1c git.kernel.org
• Linux kernel stable commit a97114b9 git.kernel.org
• Linux kernel stable commit c1803697 git.kernel.org
• Ubuntu CVE page CVE-2026-98959 ubuntu.com
• OSV entry OSV:CVE-2026-98959 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 16:44.