CVE-2026-98095

Beschreibung

Im Linux-Kernel wurde die folgende Sicherheitslücke behoben: af packet: Don't cast tpacket hdr.tp len to int in tpacket parse header(). syzbot meldete BUG() in sock sendmsg nosec(). [0] Das Problem ist, dass tpacket parse header() die vom Benutzer bereitgestellte tpacket hdr ausgibt. tp len, was u32 ist, zu int. Wenn die Länge größer als INT MAX ist, geht die folgende Bedingung in tpacket parse header() durch, wenn (unwahrscheinlich(tp len > size max)) und jeder negative Wert an den Aufrufer zurückgegeben werden kann, bis zu sock sendmsg nosec(). Der Repro-Satz tpacket hdr.tp len auf 0xfffffdef, der auf -EIOCBQUEUED (-529) geworfen wird und BUG() in sock sendmsg nosec() auslöst. *(uint64 t*)0x200000000008 = 0xfffffdef; ... syscall( NR write, /*fd=*/r[0], /*buf=*/0x200000000000ul, /*count=*/1ul); Definieren wir die lokale tp len als u32 in tpacket parse header(). [0]: kernel BUG at net/socket.c:803! Ups: ungültig opcode: 0000 [#1] SMP KASAN PTI CPU: 0 UID: 0 PID: 5628 Comm: syz-executor176 Nicht verdorben syzkaller #0 PREEMPT(full) Hardware-Name: Google Google Compute Engine/Google Compute Engine, BIOS Google 07/24/2026 RIP: 0010:sock sendmg nosec+0000000210CR3: 0010:sock sendmgCR3: 00200000000210CR2: 000000000003CR3: 000000000003CR3: 000000000003CR3: 000000003CR3: 00000000210CR3: 000000003dca000CR2: 00000000210CR3: 00000000210CR3: 00000000210CR3: 000000003dca000CR4: 00602/0xba0 fs/read write.c:595/syncall x86/entry/syscall 64.c:61 [inline] do syscall x86/entry/syscall 64+0x720 arch/x86/entry/syscall 64.c:61 [inline] do syscall 64+0x166/0x520 arch/entry/syscall 64+0

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.