Linux Kernel: Use-After-Free (CVE-2026-89847)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde die folgende Schwachstelle behoben: scsi: qla2xxx: Vermeiden einer doppelten Beendigung bei asynchroner IOCB-Zeitüberschreitung `qla2x00_async_iocb_timeout()` versucht, eine zeitüberschrittene asynchrone IOCB abzubrechen. Wenn `qla24xx_async_abort_cmd()` fehlschlägt, durchsuchen sowohl der SRB_LOGIN_CMD-Weg als auch der SRB_CTRL_VP/Standardweg `outstanding_cmds[]` nach dem SRB und rufen dann unbedingt `sp->done(sp, QLA_FUNCTION_TIMEOUT)` auf, ohne zu prüfen, ob der SRB tatsächlich gefunden und entfernt wurde.

Aktualisieren Sie Linux Kernel auf Version 5.10.270, Linux Kernel auf Version 5.15.221, Linux Kernel auf Version 6.1.188.

Betroffen

• Linux Kernel lt 4.19..5.10.270
• Linux Kernel lt 5.11..5.15.221
• Linux Kernel lt 5.16..6.1.188
• Linux Kernel lt 6.2..6.6.157
• Linux Kernel lt 6.7..6.12.110
• Linux Kernel lt 6.13..6.18.51
• Linux Kernel lt 6.19..7.2.5

Behoben in

• Linux Kernel 5.10.270
• Linux Kernel 5.15.221
• Linux Kernel 6.1.188
• Linux Kernel 6.6.157
• Linux Kernel 6.12.110
• Linux Kernel 6.18.51
• Linux Kernel 7.2.5
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: scsi: qla2xxx: Vermeiden einer doppelten Beendigung bei asynchroner IOCB-Zeitüberschreitung `qla2x00_async_iocb_timeout()` versucht, eine zeitüberschrittene asynchrone IOCB abzubrechen. Wenn `qla24xx_async_abort_cmd()` fehlschlägt, durchsuchen sowohl der SRB_LOGIN_CMD-Weg als auch der SRB_CTRL_VP/Standardweg `outstanding_cmds[]` nach dem SRB und rufen dann unbedingt `sp->done(sp, QLA_FUNCTION_TIMEOUT)` auf, ohne zu prüfen, ob der SRB tatsächlich gefunden und entfernt wurde. Wenn die Antwort-ISR denselben Handle zuerst beendet, entfernt sie den SRB unter `qp_lock_ptr` und führt `sp->done()` -> `complete(sp->comp)` aus. Der Einreicher `qla24xx_control_vp()` erwacht aus `wait_for_completion()`, löscht `sp->comp`, gibt seine Referenz frei und kehrt zurück, wodurch die auf dem Stapel befindliche Beendigung zurückgewonnen wird. Die Timer-Referenz hält den SRB über den Zeitüberschreitungs-Handler hinweg am Leben, nicht jedoch den Stapel des Einreichers. Die Zeitüberschreitung gibt dann eine zweite `sp->done()` -> `qla_ctrlvp_sp_done()` aus, die "if (sp->comp) complete(sp->comp)" auswertet; mit dem Zeiger geladen vor dem NULL-Speicher des Einreichers, schreibt `complete()` in das freigegebene Stapelrahmen, eine Use-After-Free. Verfolgen Sie, ob dieser Weg den SRB aus `outstanding_cmds` entfernt hat, und rufen Sie `sp->done()` nur dann auf, wenn dies der Fall ist, damit der Befehl genau einmal von dem Pfad abgeschlossen wird, der ihn besitzt. Dies spiegelt die bereits in `qla24xx_abort_iocb_timeout()` verwendete `sp_found`-Schutzmaßnahme wider.

Quelle: Debian LTS Advisories, Debian Security Advisories, Microsoft Security Update Guide, NVD (NIST), cvelistv5, BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Debian Linux
• Debian Linux-6.12
• Linux Linux

Quellen & Referenzen

• git.kernel.orgstable/c/71a7b6e3c7f121439f51a058e53d4a8e05b63dec
• git.kernel.orgstable/c/7257b5e1fb6c9387714f66e01b79ec82b717eede
• git.kernel.orgstable/c/f5b660e0b0d9190d8853c795c2522cc5f8c93003
• git.kernel.orgstable/c/6e217a9482eabbd8b29847be334c74cf468d3544
• git.kernel.orgstable/c/d6d856c722f40f0694ff755208552e658db6dd42
• git.kernel.orgstable/c/9fa1d71233a82416492d9c9de9756ebe140fe714
• git.kernel.orgstable/c/845d4abd92cd2f97551356c8b281ad6e197acb07
• git.kernel.orgstable/c/bb45bc4bd53c95a7bf6f782577b5ede94c0f8aa8

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 19.10.2026Eintrag geändertLinux

   1 Einzeländerung: Betroffene Versionen (Herausgeber)

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/89xxx/CVE-2026-89847.json">CVE-2026-89847</a>

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

2. 16.09.2026Eintrag geändertLinux

   CVSS V3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

3. 16.09.2026Neu erfasstLinux

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://git.kernel.org/stable/c/6e217a9482eabbd8b29847be334c74cf468d3544
   • https://git.kernel.org/stable/c/71a7b6e3c7f121439f51a058e53d4a8e05b63dec
   • https://git.kernel.org/stable/c/7257b5e1fb6c9387714f66e01b79ec82b717eede
   • https://git.kernel.org/stable/c/845d4abd92cd2f97551356c8b281ad6e197acb07

   und 4 weitere Referenzen

   10 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	In the Linux kernel, the following vulnerability has been resolved: scsi: qla2xxx: Avoid double completion in async IOCB timeout qla2x00_async_iocb_timeout() tries to abort a timed-out async IOCB. When qla24xx_async_abort_cmd() fails, both the SRB_LOGIN_CMD path and the SRB_CTRL_VP/default path scan outstanding_cmds[] for the SRB and then call sp->done(sp, QLA_FUNCTION_TIMEOUT) unconditionally, without checking whether the SRB was actually found and removed. If the response ISR completes the same handle first, it removes the SRB under qp_lock_ptr and runs sp->done() -> complete(sp->comp). The submitter qla24xx_control_vp() wakes from wait_for_completion(), clears sp->comp, drops its reference and returns, reclaiming the on-stack completion. The timer reference keeps the SRB alive across the timeout handler, but not the submitter's stack. The timeout then issues a second sp->done() -> qla_ctrlvp_sp_done(), which evaluates "if (sp->comp) complete(sp->comp)"; with the pointer loaded before the submitter's NULL store, complete() writes into the freed stack frame, a use-after-free. Track whether this path removed the SRB from outstanding_cmds and only call sp->done() when it did, so the command is completed exactly once by whichever path owns it. This mirrors the sp_found guard already used in qla24xx_abort_iocb_timeout().
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/89xxx/CVE-2026-89847.json">CVE-2026-89847</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/6e217a9482eabbd8b29847be334c74cf468d3544
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/71a7b6e3c7f121439f51a058e53d4a8e05b63dec
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/7257b5e1fb6c9387714f66e01b79ec82b717eede
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/845d4abd92cd2f97551356c8b281ad6e197acb07
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/9fa1d71233a82416492d9c9de9756ebe140fe714
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/bb45bc4bd53c95a7bf6f782577b5ede94c0f8aa8
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/d6d856c722f40f0694ff755208552e658db6dd42
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/f5b660e0b0d9190d8853c795c2522cc5f8c93003

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67