Linux Kernel: Speicherzugriff außerhalb des zugewiesenen Speichers (Out-of-bounds) (CVE-2026-97563)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde die folgende Schwachstelle behoben: smb: client: Ablehnung von außerhalb der Grenzen liegendem DataOffset in CIFSSMBRead() Der SMB1-synchroner Lese-Hilfsfunktion CIFSSMBRead() validiert die Datenlänge des Servers gegen CIFSMaxBufSize und die Anzahl des Aufrufers, validiert jedoch nie den DataOffset. Die Quelle wird wie folgt gebildet: &pSMBr->hdr.Protocol + le16_to_cpu(pSMBr->DataOffset) und mit memcpy() für DataLength Bytes kopiert, ohne zu überprüfen, ob der Bereich [DataOffset, DataOffset + DataLength) innerhalb des tatsächlich vom Server empfangenen Antwortbereichs liegt.

Aktualisieren Sie Linux Kernel auf Version 7.2.7, Linux Kernel auf Version 7.3.

Betroffen

• Linux Kernel lt 2.6.12..7.2.7

Behoben in

• Linux Kernel 7.2.7
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: smb: client: Ablehnung von außerhalb der Grenzen liegendem DataOffset in CIFSSMBRead() Der SMB1-synchroner Lese-Hilfsfunktion CIFSSMBRead() validiert die Datenlänge des Servers gegen CIFSMaxBufSize und die Anzahl des Aufrufers, validiert jedoch nie den DataOffset. Die Quelle wird wie folgt gebildet: &pSMBr->hdr.Protocol + le16_to_cpu(pSMBr->DataOffset) und mit memcpy() für DataLength Bytes kopiert, ohne zu überprüfen, ob der Bereich [DataOffset, DataOffset + DataLength) innerhalb des tatsächlich vom Server empfangenen Antwortbereichs liegt. Ein böswilliger oder kompromittierter SMB1-Server kann eine Antwort mit einer im Bereich liegenden Datenlänge und einem großen DataOffset zurückgeben, wodurch der Quellzeiger über das Ende des Antwortpuffers hinausgetrieben wird. Das memcpy() kopiert dann den benachbarten Kernel-Heap in den Lese-Puffer des Aufrufers (Informations-Offenlegung) oder liest unzuordneten Speicher und oopses (Denial of Service). SMB1 wird nicht standardmäßig verhandelt; der Zugriff auf diesen Code erfordert eine explizite vers=1.0-Montage. Sowohl DataOffset als auch die empfangene Antwortlänge, die in rsp_iov.iov_len aufgezeichnet ist, sind relativ zum Anfang des SMB-Headers, sodass die Antwort abgelehnt wird, es sei denn, DataOffset + DataLength passt innerhalb dieser Länge, unter Verwendung von Überlauf-sicherer Arithmetik, bevor der Quellzeiger gebildet wird. Die Antwortlänge wurde durch das vorherige Patch validiert, sodass die Felder DataOffset und DataLength hier sicher gelesen werden können. Während hier, mache data_length unsigned. Es hält eine Länge, die aus unsigned Feldern im Netzwerk abgeleitet ist, und wird nur jemals gegen unsigned Mengen verglichen; drucke es entsprechend mit %u und füge __func__ zu den cifs_dbg()-Aufrufen in dieser Funktion hinzu.

Quelle: cvelistv5, Microsoft Security Update Guide, NVD (NIST), BSI WID Portal, BSI CSAF

Quellen & Referenzen

• git.kernel.orgstable/c/667feba13e78d16393aacb15869f70970f422227
• git.kernel.orgstable/c/5be5bdda5863eacc964b609ba927764f253431b3

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE – Reanalyses, CVSS-Updates, CPE-Diffs.

1. CVE Modified19.10.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Affected: nachher Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97563.json">CVE-2026-97563</a>

2. New CVE Received25.09.2026416baaa9-dc9f-4396-8d5f-8c081fb06d67

   • Description: nachher In the Linux kernel, the following vulnerability has been resolved: smb: client: reject out-of-bounds DataOffset in CIFSSMBRead() The SMB1 synchronous read helper CIFSSMBRead() validates the server's DataLength against CIFSMaxBufSize and the caller's count, but never validates DataOffset. The copy source is formed as &pSMBr->hdr.Protocol + le16_to_cpu(pSMBr->DataOffset) and memcpy()'d for DataLength bytes with no check that the [DataOffset, DataOffset + DataLength) range lies within the response actually received from the server. A malicious or compromised SMB1 server can return a response carrying an in-range DataLength and a large DataOffset, driving the source pointer past the end of the response buffer. The memcpy() then copies adjacent kernel heap into the caller's read buffer (information disclosure), or reads unmapped memory and oopses (denial of service). SMB1 is not negotiated by default; reaching this code requires an explicit vers=1.0 mount. Both DataOffset and the received response length recorded in rsp_iov.iov_len are relative to the start of the SMB header, so reject the response unless DataOffset + DataLength fits within that length, using overflow-safe arithmetic, before forming the source pointer. The response length has been validated by the previous patch, so the DataOffset and DataLength fields can be read safely here. While here, make data_length unsigned. It holds a length derived from unsigned on-the-wire fields and is only ever compared against unsigned quantities; print it with %u accordingly, and add __func__ to the cifs_dbg() calls in this function.
   • Affected: nachher New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/97xxx/CVE-2026-97563.json">CVE-2026-97563</a>
   • Reference: nachher https://git.kernel.org/stable/c/5be5bdda5863eacc964b609ba927764f253431b3
   • Reference: nachher https://git.kernel.org/stable/c/667feba13e78d16393aacb15869f70970f422227