CVE-2026-99154: Out-of-Bounds nel driver iSCSI Linux

Il CVE-2026-99154 è una vulnerabilità di out-of-bounds read nel kernel Linux libiscsi. Un indice negativo dal PDU non è validato in parse_pdu_itt(), permettendo letture prima dell'array session->cmds[]. I driver iSCSI be2iscsi e beiscsi sono affetti: ricevono l'ITT dal target senza controlli. Un attacker remoto può inviare ITT negativo via NOP-In, esponendo memoria.

La gravità è dichiarata Critical con CVSS 9,8 da NVD. Il dato è stato pubblicato il 28 ottobre 2026, quindi recente. Su X sono stati registrati 3 post nelle ultime 24 ore con 9 interazioni totali, che indicano attenzione dalla comunità Linux ma non una diffusione massiccia. I post citano coerentemente la stessa vulnerabilità, il punteggio CVSS e il componente affetto. Non sono segnalati exploit pubblici verificati in repository noti. Lo stato della patch ufficiale non è confermato nei dati.

Gli amministratori di sistemi Linux che utilizzano driver iSCSI be2iscsi (Emulex/Broadcom) o beiscsi devono verificare urgentemente la versione del kernel in uso e consultare gli advisory ufficiali del vendor per la disponibilità della patch. In assenza di patch disponibile, limitare l'accesso ai target iSCSI non fiduciari e monitorare i log di kernel per errori correlati a iSCSI. Una volta disponibile la patch, applicarla con priorità su tutti i sistemi affetti, in particolare su storage e infrastruttura di rete che dipendono da iSCSI.