CVE-2026-26104
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 0 - wyżej niż 0% wszystkich znanych CVE
Streszczenie
W demonie udisks wykryto błąd pozwalający nieuprzywilejowanym użytkownikom na tworzenie kopii zapasowych nagłówków szyfrowania LUKS bez autoryzacji. Uprzywilejowana metoda D-Bus eksportująca metadane szyfrowania nie wykonuje sprawdzenia polityki.
Ocena ryzyka
Wrażliwe metadane kryptograficzne mogą zostać odczytane i zapisane w lokalizacjach kontrolowanych przez atakującego, osłabiając poufność zaszyfrowanych wolumenów.
Rekomendacja
Zaktualizuj udisks do wersji zawierającej poprawkę dodającą kontrolę polityki w metodzie D-Bus eksportującej metadane szyfrowania.
Inne podatności w udisks
Zobacz wszystkie- CVE-2026-26103Wysokie
W demonie zarządzania pamięcią masową udisks znaleziono lukę, która udostępnia uprzywilejowane API D-Bus do przywracania nagłówków szyfrowania LUKS bez odpowiednich kontroli autoryzacji. Problem pozwala lokalnemu nieuprzywilejowanemu użytkownikowi nakazać demonowi udisks działającemu jako root nadpisanie metadanych szyfrowania na urządzeniach blokowych. Może to trwale unieważnić klucze szyfrowania i uniemożliwić dostęp do zaszyfrowanych woluminów.
- CVE-2025-8067Wysokie
W demonie Udisks stwierdzono podatność polegającą na braku walidacji dolnej granicy indeksu deskryptora pliku podczas tworzenia urządzeń pętlowych przez nieuprzywilejowanych użytkowników za pośrednictwem D-BUS. Atakujący może przekazać ujemną wartość indeksu, co prowadzi do awarii demona lub eskalacji uprawnień lokalnych.
Oryginalny opis (angielski, źródło NVD)
A flaw was found in the udisks storage management daemon that allows unprivileged users to back up LUKS encryption headers without authorization. The issue occurs because a privileged D-Bus method responsible for exporting encryption metadata does not perform a policy check. As a result, sensitive cryptographic metadata can be read and written to attacker-controlled locations. This weakens the confidentiality guarantees of encrypted storage volumes.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS