SecBoard
Zurück zur CVE-Übersicht

CVE-2026-72130

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-72130 betrifft den Linux-Kernel im Subsystem nvmet-auth. Ein entfernter NVMe-oF-Initiator kann durch eine manipulierte AUTH_RECEIVE-Anfrage einen Heap-Out-of-Bounds-Schreibfehler von 16 Bytes auslösen. Dies tritt auf, wenn die In-Band-DH-HMAC-CHAP-Authentifizierung auf dem Ziel konfiguriert ist und der Initiator eine zu kurze Pufferlänge angibt, die nicht der erwarteten Antwortlänge entspricht. Die Folge ist ein Überschreiben des zugewiesenen Speichers. Die Schwachstelle wird als kritisch eingestuft, mit einem CVSS-Wert von 9.8. Obwohl der EPSS-Wert mit 1% eine geringe Exploit-Wahrscheinlichkeit anzeigt und die Schwachstelle nicht in der KEV-Liste aufgeführt ist, ist die hohe CVSS-Bewertung aufgrund der potenziellen Auswirkungen auf die Systemintegrität und -verfügbarkeit besorgniserregend. Da die Schwachstelle nur bei aktivierter In-Band-DH-HMAC-CHAP-Authentifizierung ausgenutzt werden kann, sollten Sicherheitsteams prüfen, ob diese Funktion in ihren NVMe-oF-Zielen aktiviert ist. Eine schnelle Aktualisierung des Linux-Kernels auf eine gepatchte Version ist dringend empfohlen, um das Risiko zu minimieren. Bis zur vollständigen Behebung sollte die Konfiguration der Authentifizierung auf betroffenen Systemen überprüft und gegebenenfalls angepasst werden.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

In the Linux kernel, the following vulnerability has been resolved: nvmet-auth: reject short AUTH_RECEIVE buffers nvmet_execute_auth_receive() trusts the AUTH_RECEIVE allocation length after checking only that it is nonzero and matches the transfer length. In the SUCCESS1 and FAILURE1/default states, that lets a remote NVMe-oF initiator reach the fixed-size DH-HMAC-CHAP response builders with a kmalloc() buffer shorter than the response, so nvmet_auth_success1() and nvmet_auth_failure1() write past the allocation; both only WARN_ON the short length and then format the message anyway. Impact: A remote NVMe-oF initiator with access to an auth-enabled target can trigger a 16-byte heap out-of-bounds write via a one-byte AUTH_RECEIVE allocation length. Compute the minimum response length for the current DH-HMAC-CHAP step in nvmet_auth_receive_data_len() and report a zero data length when the host-supplied allocation length is shorter, so the existing zero-length check in nvmet_execute_auth_receive() rejects the command before any builder runs. The SUCCESS1 minimum is sizeof(struct nvmf_auth_dhchap_success1_data) plus the HMAC hash length, because the response hash is written into the rval[] flexible-array tail, so the minimum is state dependent rather than a flat sizeof. CHALLENGE keeps its existing variable-length guard in nvmet_auth_challenge(). This is reachable only when in-band DH-HMAC-CHAP authentication is configured on the target.

Referenzen