🟠 CVE-2026-64299: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-64299 ist eine Schwachstelle im Linux-Kernel mit dem Schweregrad „High“ (CVSS 7.1), die einen Out-of-Bounds-Lese-Zugriff in der Glob-Matching-Funktionalität des Tracing-Subsystems ermöglicht. Die Vulnerability betrifft die Verarbeitung von String-Feldern in Event-Filtern, insbesondere bei nicht NULL-terminierten dynamischen Zeichenketten-Arrays.

Betroffene Systeme

Die Schwachstelle betrifft verschiedene Linux-Kernel-Versionen mit aktiviertem Tracing-Subsystem. Besonders anfällig sind Systeme, die XFS-Namespace-Tracepoints verwenden, da deren dynamische Char-Arrays ohne abschließendes NUL-Byte kopiert werden. Betroffene Umgebungen umfassen:

• Linux-Kernel mit aktiviertem CONFIG_TRACING
• Systeme mit XFS-Dateisystem und Tracing-Funktionalität
• Produktionsserver mit Event-Filtering und Glob-Pattern-Matching

Technische Details

Die Vulnerable Komponente ist die regex_match_glob()-Funktion, die die Feldlänge ignoriert und direkt glob_match() aufruft. Diese Funktion scannt Strings bis zum NUL-Byte, ohne Längenbegrenzungen zu beachten. Bei nicht NULL-terminierten String-Feldern führt dies zu einem Speicherzugriff über die Feldgrenzen hinaus.

Der Exploitationspfad verläuft über:

• filter_match_preds() → regex_match_glob() → glob_match()
• KASAN erkennt den Slab-Out-of-Bounds-Read
• Triggerbar via XFS-Lookup-Tracepoints oder ähnliche Tracepoints mit unkomplettem String-Terminierung

Die Filter-Prädikate filter_pred_string(), filter_pred_strloc() und filter_pred_strrelloc() übergeben korrekt die Feldlänge, doch regex_match_glob() ignorierte diesen Parameter.

Empfohlene Massnahmen

• Kernel-Update auf Version mit gepatchtem Tracing-Subsystem durchführen
• Eine längenbegrenzte glob_match_len()-Funktion implementieren, die die Feldlänge respektiert
• Tracing-Filter validieren und auf Glob-Pattern-Matches überprüfen
• KASAN-Monitoring aktivieren zur Früherkennung ähnlicher Memory-Safety-Probleme

Bewertung

Mit CVSS 7.1 (High) und lokalem Angriffsvektor stellt diese Vulnerability ein erhebliches Risiko für Multi-Tenant-Systeme und Container-Umgebungen dar. Ein lokal authentifizierter Benutzer könnte Kernel-Speicherouten lesen. Ein sofortiger Kernel-Update ist empfohlen.

„`