CVE-2026-53000
Beschreibung
Im Linux-Kernel wurde die folgende Schwachstelle behoben: netfilter: nat: use kfree rcu to release ops Florian Westphal sagt: "Historisch ist dies kein Problem, auch nicht für normale Basis-Hooks: Der Datenpfad verwendet nicht die ursprünglichen nf hook ops, die zur Registrierung der Rückrufe verwendet werden." In V5.14 jedoch Ich habe die Möglichkeit hinzugefügt, die aktiven Netzfilter-Hooks aus dem Benutzerbereich zu entfernen. Dieser Code schaut zurück in die nf hook ops, die am Ende des Pointer-Array-Blobs verfügbar sind, der vom Datenpfad verwendet wird. Die Nat Haken sind speziell, weil sie indirekt vom zentralen Nat Dispatcher Haken aufgerufen werden. Sie sind derzeit für das nfnl hook dump subsystem unsichtbar. Aber sobald sich das ändert, müssen auch die nat ops-strukturen verschoben werden. Aktualisieren Sie nf nat register fn(), um die teilweise Exposition der Hooks aus dem Fehlerpfad zu behandeln, was auch ein Problem für nfnetlink hook sein kann.
Quellen & weiterführende Informationen
Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.
Was ist zur Behebung zu tun?
Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.
Empfohlene Schritte
- Betroffene Systeme identifizieren: Mehrere Hersteller linux kernel, enterprise linux.
- Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
- Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
- Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.
Übergangsmaßnahmen
- Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
- WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
- Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.