Linux-Kernel XFS: Reflink-Flag-Behandlung bei Exchange-Range kann geteilte Daten beschädigen
Zusammenfassung
Das Dateisystem XFS im Linux-Kernel entfernt bei Exchange-Range-Operationen das Reflink-Flag, auch wenn eine Datei noch geteilte Blöcke jenseits ihrer auf dem Datenträger gespeicherten Grösse besitzt. Ein lokaler Benutzer oder Prozess mit Schreibzugriff auf solche Dateien kann dann geteilte Blöcke direkt überschreiben statt per Copy-on-Write, wodurch die andere Datei, die diese Blöcke teilt, verändert wird. Der Angriff setzt lokalen Zugriff mit niedrigen Berechtigungen auf einem Host voraus, der Reflink-fähiges XFS verwendet.
Betroffen
- XFS-Code des Linux-Kernels ab Commit f0bc4d134b46607967bda1205ce3226a1bd95f42 bis zu den in den Quellen aufgeführten Fix-Commits
- Stable-Zweige 6.12 vor 6.12.114, 6.18 vor 6.18.57, 7.2 vor 7.2.11
- Genaue Fix-Versionen für Distributionen: Unbekannt.
Behoben in
- Linux-Kernel 6.12.114, 6.18.57 und 7.2.11 (laut OSV und CNA-Daten)
- Fix-Commits: 1fa2f3a7ef7ee0f2503a4b0afe24bc8c9d0820be, 4756c94260e69ce42612b8220c3614f02f7a11d5, 7d3b9b2c9dc57f93f36c716ab752548cb4db9900, d84d6c1a7f1e2de9e601703a326a4c1b7b421943
- Kernel-Versionen der Distributionen: Unbekannt, bitte im Sicherheitshinweis der Distribution prüfen.
Umgehung
- Kein Workaround des Herstellers bekannt.
- Lokalen Shell- und Dateizugriff auf Hosts mit Reflink-fähigen XFS-Daten einschränken.
- Verwendung von XFS_IOC_SWAPEXT auf vertrauenswürdige Benutzer beschränken.
Ausnutzung
- Keine Hinweise auf Ausnutzung in freier Wildbahn gefunden.
- Kein Eintrag im CISA-KEV-Katalog gefunden.
- Kein öffentlicher Proof of Concept bestätigt.
- EPSS lag in einer Aggregator-Auflistung bei 0.00163.
Unsere Empfehlung
- Das Kernel-Update der Distribution im regulären Patch-Zyklus einspielen und Mehrbenutzer- oder gemeinsam genutzte Linux-Hosts priorisieren.
- Prüfen, ob Hosts XFS mit Reflink verwenden und ob nicht vertrauenswürdige lokale Benutzer oder Container darauf laufen.
- Lokalen Zugriff einschränken und auf unerwartete Änderungen an geteilten Dateidaten achten.
- Die Fix-Version anhand des Sicherheitshinweises der Distribution verifizieren.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-98975 ubuntu.com
- Kernel fix commit 1fa2f3a7 git.kernel.org
- Kernel fix commit 4756c942 git.kernel.org
- Kernel fix commit 7d3b9b2c git.kernel.org
- Kernel fix commit d84d6c1a git.kernel.org
- OSV entry CVE-2026-98975 vulners.com
- NVD entry CVE-2026-98975 vulners.com
- Bell-SW Alpaquita OSV entry osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 22:36.
Referenzen der NVD (4)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.