🟠 CVE-2026-80590: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-80590 ist eine kritische Sicherheitslücke im Linux-Kernel, die durch fehlerhafte GSO-State-Verarbeitung bei der IP-Fragment-Reassemblierung ausgelöst wird. Die Schwachstelle ermöglicht es unprivilegierten Benutzern, einen Kernel-Panic auszulösen, indem fragmentierte Pakete mit aktiviertem GSO-Flag (Generic Segmentation Offload) gesendet werden.

Betroffene Systeme

Betroffen sind Linux-Kernel-Versionen seit commit f43798c27684, insbesondere:

• Alle modernen Linux-Distributionen mit aktuellen Kernel-Versionen
• Systeme mit aktivierten Netzwerk-Virtualisierungsfunktionen (tun/tap, virtio_net)
• Systeme mit AF_PACKET PACKET_VNET_HDR-Unterstützung
• Container und VM-Umgebungen, die GSO-Metadata verarbeiten

Technische Details

Die Schwachstelle liegt in der Funktion inet_frag_reasm_prepare()/inet_frag_reasm_finish(). Diese Funktionen behalten das GSO-Flag (SKB_GSO_DODGY) des ersten Fragments im reassemblierten Datagram bei, obwohl IP-Fragmente legitimerweise kein GSO-State tragen dürfen. Der Kernel verarbeitet das Datagram später mit skb_segment(), was zu einem BUG_ON()-Fehler führt, da die Funktion GRO-formatierte Eingaben erwartet.

Ein Angreifer benötigt nur zwei Schreibvorgänge zu einem tap-Device durch einen unprivilegierten Benutzer in einer eigenen User-Namespace, um einen Kernel-Panic auszulösen. Auch CAP_NET_RAW-Fähigkeiten oder VM-Gast-Zugriff reichen aus.

Empfohlene Massnahmen

• Kernel-Updates auf gepatchte Versionen einspielen sobald verfügbar
• GSO-Funktionen deaktivieren, falls nicht kritisch erforderlich
• Zugriff auf tun/tap-Devices für unprivilegierte Benutzer einschränken
• Container-Isolation überprüfen und verstärken
• Netzwerk-Namespace-Segmentierung implementieren

Bewertung

CVSS 8.6 (High): Führt zu Denial-of-Service durch Kernel-Panic. Keine Code-Execution, aber schwerwiegende Verfügbarkeitsgefährdung. Angreifer benötigen lokale Systemzugriffe oder VM-Gastprivilegien.

„`