CVE-2026-89651

CVE CVE-2026-89651EUVD EUVD-2026-76563Veröffentlicht 2026-09-11T19:45:41.000ZZuletzt geändert 2026-09-13T06:32:30.000ZCVSS 9.8

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: ceph: bound MDSCapAuth path and fs_name decode in handle_session() handle_session() decodes the MDSCapAuth records carried by a CEPH_SESSION_OPEN message (msg_version >= 6). For each record the match.path and match.fs_name byte strings are read by first decoding a 32-bit length and then copying that many bytes with the bare ceph_decode_copy(). Unlike the surrounding fields, which all use the _safe decode variants, these two copies are not preceded by a ceph_decode_need() bounds check, and the enclosing MDSCapAuth and MDSCapMatch struct_len fields are skipped rather than enforced as an upper bound. A length larger than the bytes remaining in the message front makes ceph_decode_copy() read past the end of the front buffer. The message front is a dedicated allocation (ceph_msg_new2() -> kvmalloc), so the over-read runs off that object. A malicious or compromised MDS can trigger this with the first post-connect message on mount, with no client-side user interaction; under KASAN it is reported as a slab-out-of-bounds read in handle_session(). Impact: a malicious MDS can force the kernel client to read up to 4 GiB past the message front allocation during session setup, crashing the client (out-of-bounds read). Switch both copies to ceph_decode_copy_safe(), which performs the ceph_decode_need() bounds check before the copy and branches to the existing bad label, matching the rest of the decoder and the error path that frees the partially decoded cap_auths array.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

• Linux — Linux 1d17de9534cb5a4c4c380d174cc2f9281b34f89e <c37db86d2b5e9b57001ccae7e7a727e95a4f9c02; patch: 6.12.109; patch: 0; patch: 7.2.4; 1d17de9534cb5a4c4c380d174cc2f9281b34f89e <dc5c7dffda92ef372fa587c444a1c537373df824; patch: 6.18.50; 6.10; patch: 7.3-rc1; 1d17de9534cb5a4c4c380d174cc2f9281b34f89e <5f892c767b30e4fb0c744c59f9235c717383d2cd; 1d17de9534cb5a4c4c380d174cc2f9281b34f89e <77933e22adfe813be2bd10be08d6e950103c3967

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

• Linux — Linux

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.