Kwetsbaarheden worden geladen…
Kwetsbaarheden worden geladen…
CVE-2024-26982
In de Linux-kernel is de volgende kwetsbaarheid verholpen: Squashfs: controleer of het inode-nummer niet de ongeldige waarde nul is Syskiller heeft een toegang buiten het toegestane bereik veroorzaakt in fill_meta_index(). Die toegang buiten het toegestane bereik wordt uiteindelijk veroorzaakt doordat de inode een inodenummer heeft met de ongeldige waarde nul, wat niet werd gecontroleerd. De reden dat dit tot de toegang buiten het toegestane bereik leidt, is de volgende reeks gebeurtenissen: 1. Fill_meta_index() wordt aangeroepen om (via empty_meta_index()) een metadata-index toe te wijzen en te vullen. Er treedt echter een fout op bij het lezen van gegevens en de functie wordt afgebroken, waardoor de zojuist geretourneerde lege metadata-index ongeldig wordt. Dit gebeurt door het inode-nummer van de index op nul te zetten, wat betekent dat deze ongebruikt is (nul is geen geldig inode-nummer). 2. Wanneer fill_meta_index() vervolgens opnieuw wordt aangeroepen bij een andere leesbewerking, geeft locate_meta_index() de vorige index terug omdat die overeenkomt met het inode-nummer 0. Omdat deze index is teruggegeven, wordt verwacht dat hij is gevuld, en omdat dat niet het geval is, vindt er een toegang buiten het bereik plaats. Deze patch voegt een controle toe die nagaat of het inode-nummer niet nul is wanneer de inode wordt aangemaakt, en -EINVAL retourneert als dat wel zo is. [phillip@squashfs.org.uk: witruimtekorrektie]
Automatisch vertaald met DeepL. De originele tekst staat onder Originele broninformatie.
Dit record: live koppeling— laatst opgehaald: 6 november 2026 om 23:32.
Leverancier
Gepubliceerd
1 mei 2024
Laatst gewijzigd
15 oktober 2026
Rechtstreeks overgenomen uit NVD, CISA of de leverancier — soms Engelstalig, ongewijzigd t.o.v. de bron.
In the Linux kernel, the following vulnerability has been resolved: Squashfs: check the inode number is not the invalid value of zero Syskiller has produced an out of bounds access in fill_meta_index(). That out of bounds access is ultimately caused because the inode has an inode number with the invalid value of zero, which was not checked. The reason this causes the out of bounds access is due to following sequence of events: 1. Fill_meta_index() is called to allocate (via empty_meta_index()) and fill a metadata index. It however suffers a data read error and aborts, invalidating the newly returned empty metadata index. It does this by setting the inode number of the index to zero, which means unused (zero is not a valid inode number). 2. When fill_meta_index() is subsequently called again on another read operation, locate_meta_index() returns the previous index because it matches the inode number of 0. Because this index has been returned it is expected to have been filled, and because it hasn't been, an out of bounds access is performed. This patch adds a sanity check which checks that the inode number is not zero when the inode is created and returns -EINVAL if it is. [phillip@squashfs.org.uk: whitespace fix]
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H
Attack vector
LOCAL
Privileges required
LOW
User interaction
NONE
Vertrouwelijkheid
Hoog
Integriteit
Geen
Beschikbaarheid
Hoog
Kans op misbruik binnen 30 dagen
0.3%
Percentiel
21e
Bron: FIRST.org, bijgewerkt op 6 november 2026.
Limit access to the interactive shell of the additional GNU/Linux subssytem to trusted personnel only.
Onze eigen Nederlandstalige interpretatie en context bij de brondata hierboven.
IACS Radar-duiding
Onze eigen interpretatie en context bij deze kwetsbaarheid — geen officiële bron.
IACS Radar-prioriteringsscore
Gebaseerd op CVSS 7.1, EPSS 0.3%, industriële relevantie 55/100.
Weegt CVSS, EPSS, KEV-status, industriële relevantie en exposure-relevantie samen — een aanvulling op, geen vervanging van, de losse scores hieronder en hierboven.
Voorwaarden voor misbruik
Operationele impact & energierelevantie
Mogelijk verlies van zicht op of besturing over het proces bij succesvol misbruik.
Beoordeeld als relevant voor de energiesector op basis van: Vermeld in een officiële CISA ICS Advisory, wat directe relevantie voor industriële besturingssystemen bevestigt. Leverancier "Siemens" is een bekende leverancier van apparatuur voor de energiesector.
Aanbevolen defensieve maatregelen
Industriële relevantiescore
Classificatie is voorlopig; handmatige verificatie door een OT-securityanalist wordt aanbevolen.
Geclassificeerd door IACS Radar-analysepijplijn (geautomatiseerd) op 6 november 2026.
IEC 62443-mapping
Automatische IACS Radar-duiding op basis van de gerapporteerde CWE-zwakteclassificatie; geen officiële certificeringsuitspraak.