[Fonte única] tgt 1.0.98 corrige em silêncio escrita, vazamento e estouro no CHAP

A versão 1.0.98 do tgt, o SCSI target do Linux usado em servidores iSCSI, teria corrigido silenciosamente três falhas ligadas a um 0day de execução remota de código (RCE): uma primitiva de escrita (commit e3b418a), uma primitiva de vazamento (a3f4a25) e um estouro de buffer base64 no CHAP (094ade2). Segundo o pesquisador bl4sty, não houve CVE, advisory oficial nem atribuição ao relatório público que motivou as correções.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Em 28 de outubro de 2026, o pesquisador bl4sty publicou no X um alerta em tom deliberadamente alarmista: “HIGH COUNCIL ANNOUNCEMENT: Linux iSCSI tgt RCE 0day”: pedindo que administradores retirassem seus dispositivos de bloco em rede (“networked block devicez”) da internet antes que fosse tarde.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Em 9 de novembro de 2026, cerca de 12 dias depois, o mesmo pesquisador anunciou o lançamento do tgt v1.0.98, listando três problemas corrigidos “silently” (silenciosamente): write prim (e3b418a), leak prim (a3f4a25) e CHAP base64 overflow (094ade2): e lamentando: “no CVE, no advisory, no attribution to this (public) report ;^(”.[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Correções silenciosas, sem CVE nem advisory oficial, dificultam a priorização por parte de equipes de segurança: quem depende de identificadores padronizados para decidir quando aplicar atualizações pode não perceber que o release 1.0.98 fecha falhas potencialmente exploráveis.[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

O alerta original aponta um RCE 0day em alvos iSCSI, infraestrutura de armazenamento que frequentemente permanece exposta em redes corporativas. A combinação anunciada de primitiva de vazamento e primitiva de escrita é consistente com uma cadeia de corrupção de memória remota, o que elevaria o risco de servidores expostos à internet.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

A recomendação central do próprio alerta é retirar qualquer dispositivo de bloco em rede (tgt/iSCSI target) da exposição pública na internet, isolando o serviço em redes internas ou atrás de controles de acesso.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Para instâncias que precisam continuar em operação, a ação derivada dos anúncios é atualizar para o tgt v1.0.98, que contém as três correções, e revisar logs em busca de atividade suspeita: uma vez que não há advisory para sinalizar a urgência.[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

O que se sabe, com base apenas nos dois posts: existem três correções com hashes de commit identificados (e3b418a, a3f4a25, 094ade2) no v1.0.98; houve um alerta público de 0day de RCE; e, segundo o pesquisador, não foram emitidos CVE, advisory nem atribuição.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

O que permanece desconhecido: detalhes técnicos das falhas, versões afetadas, prova de explitação na natureza, impacto real do estouro de CHAP, e se um advisory ou CVE serão publicados posteriormente. Nada disso consta no lote de evidências.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

bl4sty, autor do alerta, usou tom de urgência satírico-marcado: “🚨 ATTENTION PLEASE! 🚨 HIGH COUNCIL ANNOUNCEMENT: Linux iSCSI tgt RCE 0day. REMOVE YOUR NETWORKED BLOCK DEVICEZ FROM THE INTERNET BEFORE IT'S 2L8!@#”.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

No anúncio do release, o mesmo pesquisador expressou frustração com o tratamento dado ao relatório: “no CVE, no advisory, no attribution to this (public) report ;^(”: indicando que considera as correções uma resposta silenciosa a uma divulgação pública.[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

28 de outubro de 2026: bl4sty publica o alerta de 0day de RCE no tgt, com apelo para remover dispositivos de bloco em rede da internet.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

9 de novembro de 2026, cerca de 12 dias depois: anúncio do lançamento do tgt v1.0.98 com as três correções silenciosas (write prim, leak prim e CHAP base64 overflow) e a reclamação sobre a ausência de CVE, advisory e atribuição.[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

1 grupos independentes, 1 atualizações e 0 interações.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Os três commits citados no anúncio do release são: e3b418a (write prim, primitiva de escrita), a3f4a25 (leak prim, primitiva de vazamento) e 094ade2 (CHAP base64 overflow, estouro de buffer base64 no CHAP).[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

CHAP é o mecanismo de autenticação do iSCSI; um estouro no tratamento base64 do CHAP sugere, por inferência, um caminho de corrupção de memória potencialmente anterior à autenticação. Somando uma primitiva de vazamento (útil, por exemplo, para derrotar ASLR) a uma primitiva de escrita, o conjunto descrito é consistente com uma cadeia completa de RCE: leitura inferida dos termos usados, sem detalhes técnicos públicos no lote.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

Este item baseia-se exclusivamente em dois posts no X do pesquisador bl4sty: o alerta de 0day (28/out/2026) e o anúncio do v1.0.98 (09/nov/2026). O lote não contém advisory do mantenedor, registro de CVE, diffs dos commits verificados nem confirmação independente das falhas ou das correções.[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes

URLs canônicas das fontes: https://x.com/bl4sty/status/2115394170428723523 (alerta de 0day) e https://x.com/bl4sty/status/2119792063302791538 (anúncio do release v1.0.98).[1]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes[2]bl4styx.com · bl4sty · xAbrir fonte originalVer na lista de fontes