SecBoard
Zurück zur CVE-Übersicht

CVE-2026-90011

CRITICAL(9.1)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H

Risk Signal Score23/100 — NIEDRIG
  • CVSS 9.1 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.8%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.1

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-90011 betrifft den iSCSI-Target-Subsystem im Linux-Kernel. Sie ist eine Pufferüberlauf-Schwachstelle, die auftritt, weil bei der Verarbeitung von iSCSI-Login-Payloads kein Null-Terminator reserviert wird. Dies kann dazu führen, dass Funktionen, die den Puffer als C-String interpretieren, über das Ende des Puffers hinauslesen und angrenzenden Speicher auslesen oder überschreiben. Die Schwachstelle ist für einen nicht authentifizierten Initiator erreichbar, wenn das iSCSI-Portal für CHAP-Authentifizierung konfiguriert ist. Die Schwachstelle wird mit einem CVSS-Score von 9.1 als kritisch eingestuft. Obwohl der EPSS-Wert mit 1% eine geringe Exploit-Wahrscheinlichkeit anzeigt und die Schwachstelle nicht in gelistet ist, deutet die Kritikalität auf ein hohes Risiko hin, insbesondere da sie ohne Authentifizierung ausgenutzt werden kann. Security-Teams sollten diese Schwachstelle priorisieren, sobald Patches verfügbar sind. Es ist entscheidend, betroffene Linux-Systeme umgehend zu aktualisieren, um das Risiko einer Ausnutzung zu minimieren. Bis zur Patch-Verfügbarkeit sollte die Konfiguration von iSCSI-Portalen mit CHAP-Authentifizierung überprüft und gegebenenfalls angepasst werden, um die Exposition zu reduzieren.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

In the Linux kernel, the following vulnerability has been resolved: scsi: target: iscsi: Reserve a terminator byte for the login payload iscsi_target_check_login_request() rejects a login PDU whose DataSegmentLength exceeds MAX_KEY_VALUE_PAIRS, but the test is '>' and login->req_buf is allocated with exactly MAX_KEY_VALUE_PAIRS bytes. Since iscsit_get_login_rx() receives payload_length + padding bytes, where padding = ((-payload_length) & 3); any payload_length from 8189 to 8192 fills the whole 8192 byte buffer. The write stays in bounds, but no byte is left for a NUL terminator. The buffer is subsequently consumed as a C string. In the CHAP path chap_check_algorithm() calls kstrdup(a_str), and extract_param() calls strstr(in_buf, pattern) followed by strlen_semi(), none of which take a length. convert_null_to_semi() additionally rewrites every embedded NUL to ';', so even a payload made of well formed NUL separated key=value records is left without a terminator. These walk past the end of the object into adjacent slab memory. It is reachable by an unauthenticated initiator against a portal configured for CHAP; when authentication is not required iscsi_login_zero_tsih_s2() rewrites AuthMethod to None and the CHAP path is never entered. Allocate one extra byte. kzalloc() zeroes it and nothing ever writes to it, as every writer copies to offset 0 for at most MAX_KEY_VALUE_PAIRS bytes, so the buffer is always terminated.

Referenzen