CVE-2026-64426

Beschreibung

Im Linux-Kernel wurde die folgende Sicherheitslücke behoben: io uring/nop: fix file reference leak mit IOSQE FIXED FILE NOP file-acquisition support wählt zwischen einer festen (registrierten) Datei und einer normalen fget()'d Datei basierend auf seinem eigenen IORING NOP FIXED FILE Flag in sqe->nop flags. Der REQ F FIXED FILE einer Anforderung wird jedoch unabhängig vom generischen Sqe-Flag IOSQE FIXED FILE während der Anforderung init gesetzt, bevor der Issue-Handler ausgeführt wird. Wenn eine NOP mit dem Satz IOSQE FIXED FILE eingereicht wird (also REQ F FIXED FILE gesetzt ist), aber ohne IORING NOP FIXED FILE, nimmt io nop() den normalen Pfad und greift eine echte Referenz über io file get normal(). Nach Abschluss lässt io put file() die Referenz nur dann fallen, wenn REQ F FIXED FILE gelöscht ist, so dass die Datei fget()'d niemals freigegeben wird und leckt: BUG: Speicherleck des unreferenzierten Objekts 0xffff88800f42c240 (Größe 176): kmem cache alloc noprof+0x358/0x440 alloc empty file+0x57/0x180 path openat+0x44/0x1e50 do file open+0x121/0x200 do sys openat2+0xa7/0x150 x64 sys openat+0x82/0xf0 Entscheiden Sie sich zwischen fester und normaler Dateierfassung aus REQ F FIXED FILE, genauso wie io assign file() für jeden anderen Opcode und falten Sie IORING NOP FIXED FILE zur Vorbereitungszeit in REQ F FIXED FILE.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.