| State: |
published |
| Published at: |
2026-08-09 22:25:23 CEST |
| CVEs: |
CVE-2026-64265 |
| Name: |
FUSE resend interrupt-list use-after-free |
| Summary: |
English: Local privilege escalation |
| Česky: Lokální eskalace oprávnění |
| Description: |
English: A process using the FUSE device inside a VPS can combine request resend, interruption, and a fatal signal so that the shared kernel keeps a list entry for a freed request. Later interrupt handling reads and writes the released object. Exploitation could give an attacker root inside the affected VPS. Because the corruption occurs in the shared node kernel, a more advanced exploit could potentially obtain root on the node. The reviewed technical evidence does not establish a complete path to node control and does not identify a mechanism for accessing another VPS. Failed attempts may crash the shared kernel. Kernel warnings that may indicate this bug was triggered are monitored. |
| Česky: Proces používající zařízení FUSE uvnitř VPS může zkombinovat opakované odeslání požadavku, jeho přerušení a fatální signál tak, že ve sdíleném jádře zůstane položka seznamu pro uvolněný požadavek. Pozdější obsluha přerušení z uvolněného objektu čte a zapisuje do něj. Zneužití by mohlo útočníkovi zajistit root uvnitř napadené VPS. Protože k poškození dochází ve sdíleném jádře node, pokročilejší zneužití by mohlo potenciálně získat root na node. Analyzované technické podklady nepopisují úplný postup k ovládnutí node ani mechanismus pro přístup do jiného VPS. Neúspěšný pokus může shodit sdílené jádro. Varování jádra, která mohou naznačovat spuštění této chyby, jsou monitorována. |
| Response: |
English: The fix for this CVE is included starting with vpsAdminOS kernel live patch 6.12.95.2. Upstream Linux includes it in 6.12.96 and later stable releases. |
| Česky: Oprava této zranitelnosti je součástí vpsAdminOS kernel live patche od verze 6.12.95.2. Ve stabilních vydáních Linuxu je obsažena od verze 6.12.96. |
