CVE-2026-52989: Kernel Linux nvmet-tcp: iterador não inicializado após erro de limites de PDU
A CVE-2026-52989 afeta o alvo nvmet-tcp (NVMe sobre TCP) do kernel Linux. Quando o tamanho ou o deslocamento de um PDU está fora dos limites, o erro não é informado aos chamadores, que podem seguir com um iterador não inicializado. O registro traz pontuação CVSS 3.1 de 9.8 atribuída pelo CNA e lista correções em ramos estáveis.
Visão geral
A CVE-2026-52989 é uma falha no driver de alvo nvmet-tcp do kernel Linux, classificada como CWE-908 (Uso de Recurso Não Inicializado). Quando o construtor de iovec de PDU detecta um tamanho ou deslocamento fora dos limites, ele sinaliza um erro fatal, mas retorna void; assim, os chamadores continuam o processamento e podem deixar o iterador de recepção não inicializado. A correção upstream transfere a responsabilidade pelo tratamento do erro para os chamadores, conforme descrito na entrada da NVD.
Impacto
O registro descreve uma condição em que o laço de recepção do socket pode tentar gravar dados de rede recebidos em um iterador não inicializado. A pontuação CVSS 3.1 base atribuída pelo CNA é 9.8, com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcançabilidade pela rede sem privilégios nem interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade. Um segundo provedor listado no registro atribui pontuação CVSS 3.1 de 7.1.
- Inferência: o vetor sugere que a falha pode ser alcançável pela rede em sistemas que expõem um alvo NVMe sobre TCP, mas as fontes não confirmam um caminho específico de exploração.
- Desconhecido: as consequências exatas para a segurança de memória em cada build do kernel não são descritas nas fontes consultadas.
Produtos e versões afetadas
O registro indica o produto Linux Linux Kernel com estas faixas e versões:
- de 5.10.250 até, sem incluir, 5.11
- de 5.15.200 até, sem incluir, 5.16
- de 6.1.163 até, sem incluir, 6.1.175
- de 6.6.124 até, sem incluir, 6.6.141
- de 6.12.70 até, sem incluir, 6.12.91
- de 6.18.10 até, sem incluir, 6.18.33
- de 6.19.1 até, sem incluir, 7.0.10
- versão 6.19
- versão 7.1-rc1
Os commits estáveis vinculados no registro de rastreamento da Red Hat e nas referências de correção servem de ponto de comparação para verificar o seu próprio build do kernel. O registro não informa uma única versão corrigida para cada ramo.
Status de exploração
O registro indica que a CVE não está listada no CISA KEV. Não há exploração ativa confirmada nas fontes consultadas. O registro também não contém valor de EPSS.
Correção e mitigação
- Atualize para um build do kernel da sua distribuição ou do ramo estável upstream que inclua os patches listados nas referências, como o commit upstream 046fa5c7.
- Confirme a versão do kernel em execução com as faixas afetadas acima e consulte os avisos dos fornecedores para correções retroportadas, pois kernels de distribuições podem ter numeração diferente da upstream.
- Inferência: se a aplicação do patch não for imediata, reduza a exposição limitando quais hosts podem alcançar as portas do alvo NVMe sobre TCP e desative o serviço de alvo caso ele não seja necessário.
Orientação para detecção
- Inventarie os hosts que executam as faixas de kernel afetadas e identifique os que carregam o módulo nvmet-tcp ou que executam um alvo NVMe sobre TCP.
- Revise os logs do kernel em busca de erros reportados pelo componente nvmet-tcp e trate erros inesperados no lado do alvo como motivo para verificar o status de correção.
- Monitore os endpoints NVMe sobre TCP expostos à rede em busca de padrões de conexão incomuns, entendendo que se trata de prática geral e não de assinatura confirmada pelas fontes.
Limitações das informações disponíveis
O registro fornece a descrição, dados CVSS de dois provedores, a classificação CWE e uma lista de commits estáveis e referências de rastreamento de fornecedores. Não há dados de EPSS, SSVC, prova de conceito, declaração de versão corrigida por ramo nem detalhes de condições de exploração além da descrição. Consulte os commits e avisos de fornecedores vinculados para o status de correção autoritativo.
Perguntas frequentes
Qual é o problema central da CVE-2026-52989?
O construtor de iovec de PDU no driver nvmet-tcp detecta valores fora dos limites e informa um erro fatal, mas retorna void; assim, os chamadores não sabem que o iterador ficou não inicializado e podem seguir o processamento.
Há registro de exploração ativa desta CVE?
O registro indica que a CVE não está listada no CISA KEV, e não há exploração ativa confirmada nas fontes consultadas.
O que os administradores devem fazer primeiro?
Verifique se os hosts executam as faixas de kernel afetadas ou um alvo nvmet-tcp e, em seguida, aplique as atualizações de kernel do ramo estável ou da distribuição que incluem os patches listados.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.