🔴 CVE-2026-80612: Critical Schwachstelle

„`html

Zusammenfassung

CVE-2026-80612 ist eine kritische Sicherheitslücke im Linux-Kernel, die die Verarbeitung von SKB-Metadaten während der LWT-Encapsulation (Lightweight Tunnel) betrifft. Die Schwachstelle ermöglicht die Beschädigung oder das Überschreiben von Metadaten in der Paketverarbeitung, was zu Datenkorruption oder Denial-of-Service führen kann.

Betroffene Systeme

Alle Linux-Systeme mit betroffenen Kernel-Versionen sind anfällig, insbesondere solche mit:

• Aktivierter XDP- oder TC-Infrastruktur (Express Data Path, Traffic Control)
• LWT-Tunnelmodi (Input, Output, Xmit Redirect)
• Encapsulation-Protokollen: MPLS, Segment Routing v6 (seg6), RPL, ILA, IOAM6 oder BPF-basierte LWT-Programme
• Netzwerk-Forwarding von Paketen mit bestehenden XDP-Metadaten

Technische Details

Die Schwachstelle entsteht durch unsachgemäße Behandlung von SKB-Metadaten (Socket Buffer Metadata) beim Tunneling. SKB-Metadaten befinden sich im Headroom vor skb->data und werden für die Kommunikation zwischen XDP- und TC-Schichten verwendet.

Bei der LWT-Encapsulation werden äußere Header vorangestellt, was skb->data über den Headroom verschiebt. Dies führt zu zwei kritischen Szenarien:

1. Non-BPF LWT Encaps: Funktionen wie skb_push()/skb_pull() überschreiben stillschweigend die Metadaten im Headroom.

2. BPF LWT Xmit: bpf_skb_change_head() nutzt skb_data_move(), das Metadaten unmittelbar vor skb->data erwartet. Bei weitergeleiteten Paketen entsteht ein Mismatch zwischen skb->data (L3-Header) und skb_mac_header() (L2-Header), was zu Warnungen und Metadaten-Löschung führt.

Weitergel eitete Pakete mit Metadaten können über drei LWT-Modi das Encapsulation erreichen: INPUT_REDIRECT, OUTPUT_REDIRECT und XMIT_REDIRECT.

Empfohlene Massnahmen

• Kernel-Update durchführen, sobald Patches verfügbar sind
• LWT-Encapsulation in kritischen Umgebungen bis zur Behebung deaktivieren, falls möglich
• Netzwerk-Traffic überwachen auf unerwartete Paketverluste oder -beschädigungen
• Betroffene Systeme (Container, Virtuelle Maschinen mit Tunneling) priorisiert patchen

Bewertung

Schweregrad: Critical (CVSS 9.8)
Auswirkung: Datenverlust, Netzwerk-Instabilität, potenzielle Denial-of-Service
Umsetzungskomplexität: Erfordert Kernel-Update und System-Neustart

„`