🟠 CVE-2026-80615: High Schwachstelle

„`html

Zusammenfassung

CVE-2026-80615 ist eine High-Severity-Schwachstelle im Linux-Kernel, die einen False-Positive-Buffer-Overflow in der Funktion tun_dst_unclone() des Netzwerk-Subsystems verursacht. Die Vulnerability betrifft die korrekte Speicherverwaltung bei der Kopierung von Tunnel-Metadaten und wird insbesondere bei Clang-Compilern mit Source-Fortification triggert. Mit einem CVSS-Score von 8.2 handelt es sich um eine kritische Schwachstelle im Netzwerk-Stack.

Betroffene Systeme

Die Vulnerability betrifft verschiedene Linux-Kernel-Versionen mit aktivem Netzwerk-Tunneling-Support. Besonders anfällig sind Systeme mit:

• Clang-Compiler und Source-Fortification aktiviert
• Geneve-Tunnel-Implementierungen
• Aktiven VXLAN oder ähnlichen Tunnel-Protokollen
• Kernel-Versionen mit kmalloc_flex() und __counted_by Annotation

Technische Details

Das Problem entsteht in der metadata_dst_alloc()-Funktion, wo kmalloc_flex() eine Struktur mit __counted_by-Annotation für options_len allokiert. Diese wird initial auf Null gesetzt, wird aber später zusammen mit den Tunnel-Optionen kopiert. Der Compiler warnt fälschlicherweise vor einem Buffer-Overflow, obwohl der Speicher tatsächlich allokiert wurde.

Der Fehler manifestiert sich als:

memcpy: detected buffer overflow: 104 byte write of buffer size 96

Dies tritt in skb_tunnel_info_unclone() und geneve_xmit() auf. Die Root-Cause ist die Diskrepanz zwischen dem zur Compile-Zeit bekannten Buffer-Size und der tatsächlich verfügbaren Speichergröße.

Empfohlene Massnahmen

• Kernel-Update durchführen, sobald ein gepatchter Release verfügbar ist
• Kernel mit Clang und Fortification neu kompilieren nach dem Update
• Monitoring von Tunnel-Konfigurationen und Netzwerk-Fehlern aktivieren
• Production-Systeme mit Tunneling prioritär updaten

Bewertung

Schweregrad: High (CVSS 8.2)
Angriffsvektor: Netzwerk
Status: Ohne Patch verfügbar
Die Vulnerability erfordert zeitnahe Patches des Linux-Kernels durch die Distribution oder den Kernel-Maintainer, um False-Positive-Warnungen und potenzielle Stabilitätsprobleme zu eliminieren.

„`