CVE-2026-98149
Beschreibung
Im Linux-Kernel wurde die folgende Schwachstelle behoben: bpf: Fix percpu map update indexing with sparse CPU IDs Per-CPU array, hash, and cgroup storage map updates without BPF F CPU or BPF F ALL CPUS use a value buffer whose per-CPU slots are packed in possible-CPU order. Der Puffer ist bemessen als: round up(value size, 8) * num possible cpus() Die Update-Pfade durchlaufen mögliche CPUs, verwenden jedoch die logische CPU-ID, um den Quellversatz zu berechnen: Wert + Größe * cpu Dies funktioniert nur, wenn mögliche CPU-IDs bei Null beginnen. Bei einer möglichen CPU-Maske von 0,2-3 enthält der Puffer beispielsweise drei Slots, die den CPUs 0, 2 und 3 entsprechen. Es wird daher erwartet, dass CPU2 Slot 1 und CPU3 Slot 2 verwendet. Stattdessen verwendet der aktuelle Code Slots 2 bzw. 3, was zu falschen pro-CPU-Werten und einem Out-of-Bounds führt, die aus dem Update-Puffer für CPU3 gelesen werden. Die entsprechenden Lookup-Pfade verwenden bereits einen dichten Offset beim Iterieren über mögliche CPUs. Machen Sie dasselbe für die Array-, Hash- und Cgroup-Speicheraktualisierungspfade, indem Sie den Source-Offset einmal für jede mögliche CPU vorantreiben. BPF F ALL CPUS verwendet weiterhin den gleichen Wert für jede CPU.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: linux linux kernel.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.