„`html
Zusammenfassung
CVE-2026-64530 ist eine kritische Sicherheitslücke im Linux-Kernel, die einen Use-After-Free (UAF)-Fehler in der Traffic Control (TC) Klassifizierungsschicht verursacht. Die Schwachstelle betrifft die Funktion tcf_qevent_handle(), die den Rückgabewert TC_ACT_CONSUMED nicht ordnungsgemäß behandelt. Dies führt zu unkontrolliertem Speicherzugriff auf bereits freigegebene Speicherbereiche.
Betroffene Systeme
Die Sicherheitslücke betrifft verschiedene Linux-Distributionen mit betroffenen Kernel-Versionen. Besonders anfällig sind Systeme, die:
- Qdisc-basierte Verkehrskontrolle mit RED (Random Early Detection) verwenden
- TC-Qevents mit
early_dropoder Markierungs-Funktionen aktiviert haben - Connection Tracking (act_ct) mit Defragmentierungsfunktion einsetzen
Technische Details
Der Fehler tritt auf, wenn tcf_classify() den Wert TC_ACT_CONSUMED zurückgibt, während ein Paket (skb) vom Defragmentierungs-Engine gehalten wird. In dieser Situation verliert der Aufrufer die Kontrolle über das Paket. Die anfällige Funktion tcf_qevent_handle() führt keinen Kontrollfluss für diesen Rückgabewert auf, was dazu führt, dass das Paket als normal bearbeitet zurückgegeben wird.
Die RED-Qdisc setzt dann den Betrieb fort und versucht, das Paket in die Warteschlange einzureihen, zu verwerfen oder Statistiken zu aktualisieren – alles auf einem Objekt, das nicht mehr im Besitz des Aufrufers ist.
Empfohlene Massnahmen
- Kernel-Updates auf gepatchte Versionen durchführen
- TC-Qevents-Konfigurationen überprüfen und ggf. deaktivieren
- Connection Tracking mit Defragmentierung monitoren
- Netzwerk-Traffic-Pattern analysieren, besonders fragmentierte UDP-Streams
Bewertung
CVSS-Score: 9.8 (Critical) – Der hohe Schweregrad reflektiert die Möglichkeit von Kernel-Crashes, Privilege Escalation und Denial of Service durch den Use-After-Free-Fehler. Ein Patch ist erforderlich.
„`