CVE-2026-80892 in Linux
Zusammenfassung
von VulDB • 04.09.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
erofs: Begrenzung der Größe des LZMA-Stream-Pools
fs/erofs/decompressor_lzma.c dimensioniert den modulglobalen MicroLZMA-Stream-Pool basierend auf num_possible_cpus(), wenn das Modulparameter lzma_streams nicht festgelegt ist. Anschließend wird in z_erofs_load_lzma_config() pro Stream ein vom Image bereitgestelltes Dictionary mit einer Größe von bis zu 8 MiB voralloziert. Auf Systemen mit vielen CPUs kann ein kleines EROFS-Image Hunderte von Megabyte an vmalloc-gestütztem Decoder-Zustand blockieren, solange das erofs-Modul nicht entladen wird.
Auswirkung: Ein vom System eingehängtes EROFS-Image kann bis zu 8 MiB an vmalloc-Speicher pro LZMA-Stream belegen, entweder wie vorgesehen oder unerwartet.
Die Standardanzahl der Streams wurde durch die neue Option CONFIG_EROFS_FS_ZIP_LZMA_DEFAULT_MAX_STREAMS (Standardwert: 16) begrenzt, sodass die maximale vorallozierte Speichergröße im schlimmsten Fallstandardmäßig 128 MiB beträgt, wenn die Anzahl der CPUs mindestens 16 beträgt. Dabei wird das bestehende Limit pro Dictionary-Image beibehalten. Der explizite Modulparameter lzma_streams bleibt weiterhin unverändert gültig, sodass Administratoren, die den Pool bewusst dimensionieren, nicht betroffen sind.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.