CVE-2026-33150 in libfuse
요약
\~에 의해 VulDB • 2026. 05. 21.
libfuse는 Linux FUSE의 참조 구현체입니다. 버전 3.18.0부터 3.18.2 이전 버전까지 libfuse의 io_uring 서브시스템에서 use-after-free 취약점이 발견되어, 로컬 공격자가 FUSE 파일시스템 프로세스를 충돌시키거나 임의의 코드를 실행할 수 있습니다. 리소스 고갈(예: cgroup pids.max)로 인해 io_uring 스레드 생성이 실패할 경우, fuse_uring_start()는 링 풀 구조체를 해제하지만 덩글링 포인터를 세션 상태에 저장하게 되며, 세션이 종료될 때 use-after-free가 발생합니다. cgroup pids.max 제한이 스레드 생성을 자연스럽게 제약하는 컨테이너화된 환경에서는 이 트리거가 신뢰성 있게 작동합니다. 이 문제는 버전 3.18.2에서 패치되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.