CVE-2026-98127

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: smb/client: validate new EOF for insert range smb3 insert range() prüft nicht, ob die neue Dateigröße (i size + len) gültig ist. Dadurch kann FALLOC FL INSERT RANGE RLIMIT FSIZE umgehen, s maxbytes überschreiten oder eine Größe außerhalb des loff t-Bereichs erzeugen. Verwenden Sie check add overflow(), um die neue EOF zu berechnen. Validieren Sie es mit inode newsize ok(), bevor Sie die Datei ändern. Reproducer, using a file on a CIFS mount: bash -c ' FILE=/mnt/cifs/repro trap "" SIGXFSZ ulimit -f 3072 # RLIMIT FSIZE = 3 MiB # A regular write is stopped at 3 MiB. dd if=/dev/zero of="$FILE" bs=1M count=4 status=none stat -c "size after write:%s" "$FILE" # Insert 2 MiB into a 2 MiB file. truncate -s 2M "$FILE" fallocate -i -o 0 -l 2M "$FILE" stat -c "Größe nach insert: %s" "$FILE" ' Vor dieser Änderung stoppt das reguläre Schreiben am 3 MiB-Limit, aber insert range erweitert die Datei auf 4 MiB: dd: Fehlerschreiben '/mnt/cifs/repro': Datei zu groß nach dem Schreiben: 3145728 Größe nach dem Einfügen: 4194304 Nach dieser Änderung scheitert auch der insert range am Limit und lässt die 2 MiB-Datei unverändert: dd: error writing '/mnt/cifs/repro': Datei zu groß nach dem Schreiben: 3145728 Fallocate: Fallocate failed: Datei zu groß nach dem Einfügen: 2097152

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.