CVE-2026-26103

WysokieCVSS 7.1

Opublikowano: 25/02/2026(UTC)Zaktualizowano: 15/07/2026(UTC)Przetłumaczono: 16/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.08%

Percentyl 0 - wyżej niż 0% wszystkich znanych CVE

Streszczenie

W demonie zarządzania pamięcią masową udisks znaleziono lukę, która udostępnia uprzywilejowane API D-Bus do przywracania nagłówków szyfrowania LUKS bez odpowiednich kontroli autoryzacji. Problem pozwala lokalnemu nieuprzywilejowanemu użytkownikowi nakazać demonowi udisks działającemu jako root nadpisanie metadanych szyfrowania na urządzeniach blokowych. Może to trwale unieważnić klucze szyfrowania i uniemożliwić dostęp do zaszyfrowanych woluminów.

Ocena ryzyka

Skuteczne wykorzystanie luki prowadzi do odmowy usługi (DoS) poprzez nieodwracalną utratę danych, co może sparaliżować działanie systemów przechowujących krytyczne informacje na zaszyfrowanych partycjach.

Rekomendacja

Należy niezwłocznie zaktualizować pakiet udisks do wersji zawierającej poprawkę bezpieczeństwa oraz ograniczyć dostęp do API D-Bus dla nieuprzywilejowanych użytkowników za pomocą polityk D-Bus.

Inne podatności w udisks

CVE-2025-8067Wysokie
W demonie Udisks stwierdzono podatność polegającą na braku walidacji dolnej granicy indeksu deskryptora pliku podczas tworzenia urządzeń pętlowych przez nieuprzywilejowanych użytkowników za pośrednictwem D-BUS. Atakujący może przekazać ujemną wartość indeksu, co prowadzi do awarii demona lub eskalacji uprawnień lokalnych.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in the udisks storage management daemon that exposes a privileged D-Bus API for restoring LUKS encryption headers without proper authorization checks. The issue allows a local unprivileged user to instruct the root-owned udisks daemon to overwrite encryption metadata on block devices. This can permanently invalidate encryption keys and render encrypted volumes inaccessible. Successful exploitation results in a denial-of-service condition through irreversible data loss.