CVE-2026-64422

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: net: ipv4: bound TCP reordering sysctl writes und MTU probe sizes Reject invalid `net.ipv4.tcp reordering` values before they reach TCP socket state. Das sysctl wird als `int` gespeichert, aber in das `u32` `tp->reordering` Feld für neue Sockets kopiert, so dass negative Wrap auf große Werte schreibt. Mit `tcp mtu probing=2` kann der gewickelte Wert die `tcp mtu probe()` Größenberechnung überlaufen und den MTU-Probing-Pfad in einen Out-of-bounds-Read treiben. Route `tcp reordering` schreibt durch `proc dointvec minmax()` und verlangt, dass es mindestens 1 ist. Außerdem muss `tcp max reordering` mindestens 1 sein, so dass das konfigurierte Maximum auch nicht negativ werden kann. Wenn Sie die Tabelle für einen Nicht-Init-Netzwerk-Namespace registrieren, verschieben Sie `extra2`-Zeiger, die auf `init net.ipv4` verweisen, so dass die `tcp reordering`-Obergrenze der `tcp max reordering` folgt. Harden `tcp mtu probe()` selbst durch Berechnung `size needed` als `u64`. Dadurch wird verhindert, dass die Sendewarteschlange und die Fensterüberprüfungen durch den signierten Ganzzahlüberlauf umgangen werden.

Quellen & weiterführende Informationen

Hier werden ausschließlich tatsächlich zu dieser Schwachstelle gespeicherte Quellenbelege angezeigt.

Was ist zur Behebung zu tun?

Herstellerhinweise prüfen und das betroffene Produkt kurzfristig patchen oder kompensierende Schutzmaßnahmen aktivieren.

Empfohlene Schritte

• Betroffene Systeme identifizieren: linux linux kernel.
• Exposition prüfen: Internet-Erreichbarkeit, Admin-Oberflächen, VPN, Mail- oder Webdienste.
• Hersteller-Advisory öffnen und verfügbare Updates, Workarounds oder Deaktivierungen prüfen.
• Nacharbeiten dokumentieren: betroffene Assets, Maßnahme, Zeitpunkt, Restrestrisiko.

Übergangsmaßnahmen

• Zugriff auf betroffene Dienste auf vertrauenswürdige Netze einschränken.
• WAF/IDS/EDR-Regeln und Hersteller-IOCs aktivieren, sofern verfügbar.
• Nicht benötigte Funktionen, Plugins oder Dienste temporär deaktivieren.