CVE-2026-64389
Beschreibung
Im Linux-Kernel wurde die folgende Sicherheitsanfälligkeit behoben: ksmbd: validate NTLMv2 response before update session key ksmbd auth ntlmv2() leitet den NTLMv2-Sitzungsschlüssel in sess->sess key ab, bevor er die NTLMv2-Antwort überprüft. ksmbd decode ntlmssp auth blob() setzt sich dann in KEY XCH fort, auch wenn ksmbd auth ntlmv2() fehlgeschlagen ist. Bei der SMB3-Multichannel-Bindung wird die fehlgeschlagene Authentifizierung für eine bestehende Sitzung ausgeführt, und der Fehlerpfad für die Sitzungseinstellung läuft nicht ab. Ein Client kann eine verbindliche Sitzung mit einem schlechten NT-Proof und KEY XCH senden und trotzdem sess->sess key ändern, bevor STATUS LOGON FAILURE zurückgegeben wird. Relevanter Pfad: smb2 sess setup() -> conn->binding = true -> ntlm authenticate() -> session user() -> ksmbd decode ntlmssp auth blob() -> ksmbd auth ntlmv2() -> calc ntlmv2 hash() -> hmac md5 usingrawkey(..., sess->sess key) -> crypto memneq() Returns mismatch -> KEY XCH arc4 crypt(..., sess->sess key, ...) -> out err without expiring the binding session Der base session key in a local buffer and copy it to sess->sess key only after the proof matches. KEY XCH wird nur nach erfolgreicher Authentifizierung verarbeitet.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: linux linux kernel.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.
- Administrative Zugänge besonders absichern: MFA, Passwortrotation, Session-Invalidierung.