NVD / CVE Program· CNA Linux

CVE-2026-63833: ntfs3: reject direct userspace writes to reserved $LX* xattrs

Оценка Noroxi

Приоритет: Наблюдать (оценка срочности 28/100)

В отслеживаемых источниках (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) нет публичного эксплойта или записей об эксплуатации.
Вероятность эксплуатации в ближайшие 30 дней: 0,14% (FIRST EPSS).
Может быть вызвана пользователем с локальным доступом к системе. Достаточно учётной записи с низкими привилегиями. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
Исправленная версия: Linux Linux 293a84fa40b3a1b3471c0545722724bc10973f76, 2c3cd6da4a14380ef79e34bd9dff7caf46687477, 5b08dccecf825cbf905f348bc6ccb497507e28e2.
Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 1.

Пока низкий приоритет. Обновитесь до Linux Linux 293a84fa40b3a1b3471c0545722724bc10973f76, 2c3cd6da4a14380ef79e34bd9dff7caf46687477, 5b08dccecf825cbf905f348bc6ccb497507e28e2 или новее.

Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем

Первоисточники: NVD · CVE.org · FIRST EPSS

In the Linux kernel, the following vulnerability has been resolved: ntfs3: reject direct userspace writes to reserved $LX* xattrs NTFS3 uses $LXUID, $LXGID, $LXMOD and $LXDEV as internal WSL permission metadata and reloads them into i_uid, i_gid and i_mode from ntfs_get_wsl_perm(). Because the empty-prefix xattr handler also lets file owners call setxattr() on these names directly, an unprivileged writer on a writable ntfs3 mount can plant root ownership and S_ISUID on their own file and gain euid 0 after inode reload. Reject direct userspace writes to the reserved $LX* names. Internal ntfs3 metadata updates are unchanged because ntfs_save_wsl_perm() writes them via ntfs_set_ea() directly. [almaz.alexandrovich@paragon-software.com: added an additional check for non privileged users]

ВысокаяCVSS 7.1 · v3.1—Эксплойта нет Есть исправление

Опубликовано: 19 июл. 2026 г.
Обновлено: 22 окт. 2026 г.
EPSS: 0,1 % · 3-й процентиль
CWE: CWE-862

Инструменты для отчёта

JSON

Оценка срочности

Наблюдать

Пока низкий приоритет.

CVSS: 28 / 40 · 7.1 / 10
CISA KEV: 0 / 30 · Нет в списке
EPSS: 0 / 30 · 0,1 %

Решение CISA SSVC

Эксплуатация: нет
Автоматизируемо: нет
Техническое влияние: полное

Vulnrichment: входные данные дерева решений CISA.

Оценка CNA и NVD

NVD: —
CNA · Linux: 7,1; NVD ещё не выставил свою оценку; показана оценка CNA.

Оценка присваивающего органа и независимая оценка NVD. Разрыв означает, что критичность спорна.

Узнайте, когда запись изменится

Нет в KEV: эксплуатация в реальных атаках не зафиксирована
Публичного эксплойта нет
Исправление выпущено

Если что-то из этого изменится, сообщим в ежедневной сводке.

У вас WordPress? Проверьте сайт бесплатно в WP Lens

Затронута ли ваша версия? Проверьте

Анализ Noroxi

Что это значит для вашей инфраструктуры?

Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.

Мы используем этот продукт, нужна помощь

Затронутые системы

Затронута ли ваша версия?

Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.

Вендор	Продукт	CPE
linux	linux kernel	cpe:2.3:o:linux:linux_kernel

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

linux linux kernel5.15 и новее · до 5.15.211
linux linux kernel5.16 и новее · до 6.1.177
linux linux kernel6.2 и новее · до 6.6.144
linux linux kernel6.7 и новее · до 6.12.95
linux linux kernel6.13 и новее · до 6.18.38
linux linux kernel6.19 и новее · до 7.1.3

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (Linux). Не зависят от анализа CPE в NVD и обычно опережают его.

Linux Linux
- 5.15затронута
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до e574af95234afc3c725988bbc1fdeb46b9f386a4затронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до 2c3cd6da4a14380ef79e34bd9dff7caf46687477затронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до e8852ae29868e449fdb47eebc28f35fb80741a5fзатронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до f8d420949b335a4b51d06ab276beee6b8dfdc909затронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до 5e658b9245a52d838ef93729a7bc07de8e19deb7затронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до 293a84fa40b3a1b3471c0545722724bc10973f76затронута · git
- be71b5cba2e6485e8959da7a9f9a44461a1bb074 и новее · до 5b08dccecf825cbf905f348bc6ccb497507e28e2затронута · git
- до 5.15не затронута · semver
- 5.15.211 и новее · до 5.15.* включительноне затронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Экосистема	Пакет	Затронутый диапазон	Исправление
Debian:12	linux	до 6.1.177-1	6.1.177-1
Debian:13	linux	до 6.12.95-1	6.12.95-1
Debian:14	linux	до 7.1.3-1	7.1.3-1

Тот же продукт

linux: все записи

Другие записи с наивысшей оценкой для того же основного продукта.

CVE-2026-31431crypto: algif_aead - Revert to operating out-of-placeKEV
90Срочно
CVE-2022-0847A flaw was found in the way the "flags" member of the new pipe buffer structure was lacking proper initialization in copy_page_to_iter_pipe KEV
89Срочно
CVE-2021-22555Heap Out-Of-Bounds Write in Netfilter IP6T_SO_SET_REPLACEKEV
85Срочно

Опубликованы до и после этой записи в том же продукте

← РаньшеCVE-2026-6383119 июл. 2026 г. · mac802154: llsec: add skb_cow_data() before in-place crypto
35Наблюдать
← РаньшеCVE-2026-6383219 июл. 2026 г. · wifi: mt76: add wcid publish check in mt76_sta_add
35Наблюдать
Позже →CVE-2026-6404419 июл. 2026 г. · ovpn: respect peer refcount in CMD_NEW_PEER error path
31Наблюдать

Исправление

На какую версию обновиться

Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.

Продукт / пакет	Исправленная версия	Источник
Linux Linux	293a84fa40b3a1b3471c0545722724bc10973f76	Вендор (CNA)
Linux Linux	2c3cd6da4a14380ef79e34bd9dff7caf46687477	Вендор (CNA)
Linux Linux	5b08dccecf825cbf905f348bc6ccb497507e28e2	Вендор (CNA)
Linux Linux	5e658b9245a52d838ef93729a7bc07de8e19deb7	Вендор (CNA)
Linux Linux	e574af95234afc3c725988bbc1fdeb46b9f386a4	Вендор (CNA)
Linux Linux	e8852ae29868e449fdb47eebc28f35fb80741a5f	Вендор (CNA)
Linux Linux	f8d420949b335a4b51d06ab276beee6b8dfdc909	Вендор (CNA)
debian:linux	6.1.177-1 · Debian:12	Реестр пакетов (OSV)

Статус эксплойта

Публичный эксплойт неизвестен

Публичный эксплойт пока не обнаружен. Это не значит, что вы в безопасности, лишь что порог чуть выше.

Контекст для исследователя

Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.

Хронология

От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.

Кроме публикации датированных событий нет.

EPSS за 120 дней

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Ссылки на патчи и коммиты

Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.

Среди источников нет ссылок на коммит или PR.

Авторы

Все исследователи

Нашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.

В записи CNA нет авторов.

Кандидаты в варианты

Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.

CVE-2026-63829с разницей 0 дн.net: ip_gre: require CAP_NET_ADMIN in the device netns for changelink
35Наблюдать
CVE-2026-63921с разницей 0 дн.ip6: vti: Use ip6_tnl.net in vti6_siocdevprivate().
35Наблюдать
CVE-2026-63941с разницей 0 дн.KVM: arm64: Correctly cap ZCR_EL2 provided by a guest hypervisor
35Наблюдать
CVE-2026-64042с разницей 0 дн.vfio/pci: Check BAR resources before exporting a DMABUF
35Наблюдать
CVE-2026-46174с разницей 52 дн.x86/CPU/AMD: Prevent improper isolation of shared resources in Zen2's op cache
35Наблюдать
CVE-2026-31788с разницей 116 дн.xen/privcmd: restrict usage in unprivileged domU
32Наблюдать