CVE-2026-99153: Validazione ITT in Reject PDU di libiscsi

CVE-2026-99153 è una falla di validazione nel modulo libiscsi del Linux Kernel che interessa la gestione dei Reject PDU (Protocol Data Unit) nel protocollo iSCSI. La vulnerabilità risiede in iscsi_handle_reject(), che estrae l'ITT (Initiator Task Tag) da un Reject PDU senza validazione appropriata. Un target iSCSI ostile può inviare un ITT arbitrario, permettendo al kernel di completare come successo comandi SCSI che non sono stati realmente eseguiti, causando data loss critico in ambienti di storage e virtualization.

Con un CVSS di 9,8 (gravità critical), questa falla rappresenta un rischio immediato e critico. La descrizione tecnica ufficiale documenta impatto reale: una lettura di 1 MiB viene confermata come completata e restituita al client senza che il buffer sia stato effettivamente scritto, causando dati corrotti in produzione. Inoltre vengono riscontrati kernel panic con general protection fault. La patch è disponibile a partire da kernel Linux 5.10.273, confermato da segnali pubblici del 31 ottobre 2026.

Gli amministratori devono dare priorità assoluta all'aggiornamento del kernel Linux a versione 5.10.273 o successive, specialmente su sistemi che utilizzano iSCSI per storage, SAN o virtualization. Come misura temporanea, disabilitare iSCSI non critico e isolarlo in VLAN separate da target non affidabili. Monitorare kernel log per general protection fault, crash di processi iscsi, o comandi completati con inconsistenze di dati. Effettuare verifiche di integrità sui dati letti da iSCSI fino al completamento della patch.