SUSE ha publicado una actualización de seguridad para open-iscsi que corrige siete vulnerabilidades. Entre ellas hay dos que afectan a funciones distintas: una permite a un atacante situado entre el cliente y el servidor crear archivos propiedad de root durante el descubrimiento de destinos iSCSI, y la otra permite a usuarios locales sin privilegios utilizar el socket de control de iscsiuio.
Dos fallos con alcances distintos
open-iscsi permite que Linux se conecte a unidades de almacenamiento a través de una red IP. El primero de los fallos, CVE-2026-44943, afecta al proceso con el que el cliente localiza esas unidades. Un atacante que pueda manipular el tráfico de descubrimiento puede provocar la creación de archivos propiedad de root fuera del directorio de la base de datos local de iSCSI e insertar líneas en el registro.
El segundo fallo, CVE-2026-44944, requiere acceso local al sistema. Un error en la comprobación de permisos permite que un usuario sin privilegios utilice el socket de control de iscsiuio, la interfaz local con la que otros procesos se comunican con ese servicio.
Qué paquete instalar
El aviso oficial SUSE-SU-2026:5224-1 incluye, entre otros productos, SUSE Linux Enterprise Server 15 SP5 LTSS, SUSE Linux Enterprise Micro 5.5 y openSUSE Leap 15.5. Para esas ediciones, el boletín enumera open-iscsi 2.1.13-150500.46.6.1 e iscsiuio 0.7.8.8-150500.46.6.1. Si utilizas otra edición, consulta el aviso correspondiente a tu producto antes de comparar versiones.
Aplica el parche mediante el mecanismo de actualización habitual de tu distribución. Si el equipo depende de almacenamiento iSCSI, programa el cambio dentro de tu ventana de mantenimiento y comprueba después que las conexiones de almacenamiento y los servicios que las utilizan siguen funcionando.