„`html
Zusammenfassung
CVE-2026-80668 ist eine kritische Sicherheitslücke (CVSS 9.8) im Linux-Kernel, die die Garbage Collection (GC) von Verbindungserwartungen im netfilter-Subsystem betrifft. Die Schwachstelle ermöglicht Race-Conditions bei der Freigabe von Expectation-Strukturen, die zu Use-After-Free-Angriffen und Kernel-Panics führen können.
Betroffene Systeme
Die Schwachstelle betrifft Linux-Kernel-Versionen mit netfilter nf_conntrack_expect-Implementierung. Besonders anfällig sind Systeme mit aktiver Netzwerkfilterung und Helper-Erweiterungen (nft_ct). Alle gängigen Linux-Distributionen mit standardmäßig kompiliertem netfilter-Modul sind potenziell betroffen.
Technische Details
Das Vulnerability liegt im veralteten Timer-API-Ansatz für Expectation-Management. Der Kernel verwendete Timer zur Verwaltung von Verbindungserwartungen, was zu Race-Conditions führte:
- Race-Condition: timer_del() konnte fehlschlagen, wodurch abgelaufene Expectations stale Master-Pointer erhielten
- Use-After-Free: Gleichzeitige Zugriffe auf exp->master während dessen Freigabe
- Refcount-Probleme: Fehlerhafte Referenzzählung durch multiple timer-basierte Increments
Die Patch ersetzt Timer durch einen GC-Worker-Ansatz mit Spinlock-Synchronisation. Das neue NF_CT_EXPECT_DEAD-Flag kennzeichnet zu reapende Expectations. Der Mechanismus iteriert über Master-Conntrack-Listen und prüft IPS_HELPER_BIT zur Optimierung.
Empfohlene Massnahmen
Sofortige Aktionen:
- Kernel-Updates einspielen, sobald Patches verfügbar sind
- Netfilter-Module auf neueste Versionen aktualisieren
- Firewall-Konfigurationen überprüfen und Tests durchführen
- Kernel-Monitoring für abnormale Crashes aktivieren
Bewertung
Die kritische Einstufung (CVSS 9.8) ist gerechtfertigt durch hohes Exploitations-Potenzial via Netzwerk ohne Authentifizierung. Die Vulnerability ermöglicht Denial-of-Service und möglicherweise Privilege-Escalation. Aktualisierung ist prioritär für produktive Systeme.
„`