CVE-2026-52955: Kernel Linux libceph: acesso fora dos limites em crush_decode()
A CVE-2026-52955 afeta o componente libceph do kernel Linux, em que a decodificação de mapas CRUSH em crush_decode() pode acessar memória fora dos limites quando os dois campos de algoritmo de um bucket em uma mensagem de mapa OSD divergem. O CNA do kernel classifica a falha como crítica, com pontuação 9.8 no CVSS 3.1 e vetor de rede que não exige privilégios nem interação do usuário. A CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas; há correções referenciadas para várias linhas estáveis do kernel.
Visão geral
A CVE-2026-52955 é um problema de nível de kernel no libceph, a biblioteca de cliente Ceph dentro do kernel Linux. A falha está em crush_decode(), rotina que interpreta mapas CRUSH recebidos em mensagens de mapa OSD. Um bucket armazena o algoritmo duas vezes; quando as duas cópias divergem, a memória dimensionada com uma delas é depois processada com a outra, o que pode levar a acesso fora dos limites.
Impacto
- O CNA do kernel atribui pontuação 9.8 no CVSS 3.1, com vetor AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que descreve alcance pela rede sem privilégios nem interação do usuário.
- Um segundo provedor listado no registro atribui pontuação 4.7 no CVSS 3.1. O registro não explica a diferença entre as duas pontuações.
- O registro classifica a fraqueza como CWE-125 (leitura fora dos limites). A descrição fala de acesso fora dos limites em termos gerais, por isso o efeito exato na memória não está totalmente especificado nas fontes.
Produtos e versões afetadas
O registro indica o kernel Linux como produto afetado e apresenta estas faixas:
- De 2.6.34.1 até antes de 5.10.258
- De 5.11 até antes de 5.15.209
- De 5.16 até antes de 6.1.175
- De 6.2 até antes de 6.6.141
- De 6.7 até antes de 6.12.91
- De 6.13 até antes de 6.18.33
- De 6.19 até antes de 7.0.10
O registro também lista 2.6.34 e diversas versões de pré-lançamento dos ciclos de desenvolvimento 2.6.34 e 7.1. Verifique o aviso da sua distribuição ou fornecedor quanto ao status de backport, pois as faixas acima vêm do registro e não cobrem todos os kernels empacotados.
Status de exploração
O registro não lista esta CVE na CISA KEV e nenhuma exploração confirmada aparece nas fontes consultadas. O registro não traz detalhes públicos de exploração.
Correção e mitigação
- Identifique sistemas que executam ramos de kernel afetados, incluindo hosts que usam clientes Ceph de kernel para armazenamento em bloco ou em arquivos.
- Aplique as atualizações estáveis do kernel fornecidas pela sua distribuição ou pelo ramo estável upstream correspondente à sua série. Com base nos limites superiores das faixas listadas, a primeira versão fora de cada faixa é o ponto de correção esperado; confirme com o fornecedor.
- Se a funcionalidade de cliente Ceph de kernel não for necessária em um host, reduza a exposição não carregando os módulos relacionados, como inferência a partir do componente afetado.
- Acompanhe os avisos das distribuições quanto a correções retroportadas, pois um kernel de fornecedor pode conter a correção sem corresponder ao número de versão upstream.
Orientação para detecção
- Inventarie as versões do kernel e verifique se o módulo libceph está carregado em clientes de armazenamento.
- Revise os logs do kernel em busca de erros relacionados a libceph ou crush, falhas de memória ou travamentos inesperados durante atualizações de mapas do cluster.
- Monitore a saúde do cluster Ceph e os eventos de reconexão dos clientes, já que falhas incomuns no tratamento de mapas podem ser um sinal operacional precoce.
Limitações das informações disponíveis
O registro não fornece título, pontuação EPSS nem dados SSVC. As fontes não descrevem prova de conceito nem ataque real. Se uma implantação consegue alcançar o caminho de código vulnerável depende da sua configuração Ceph, que o registro não cobre. Os commits de correção estão listados, mas esta análise se baseia na descrição do registro e não em uma revisão linha a linha de cada patch.
Perguntas frequentes
O que é a CVE-2026-52955?
É uma falha no componente libceph do kernel Linux. Quando os dois campos de algoritmo de um bucket CRUSH em uma mensagem de mapa OSD divergem, crush_decode() pode acessar memória fora dos limites.
Esta vulnerabilidade está sendo explorada ativamente?
A CISA KEV não a lista e nenhuma exploração confirmada aparece nas fontes consultadas. A ausência na lista reflete o status atual, não uma garantia.
O que administradores devem fazer?
Verifique se há ramos de kernel afetados em uso, aplique as atualizações estáveis ou as correções da distribuição para a sua série e reduza a exposição em hosts que não precisam de clientes Ceph de kernel.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.