CVE-2025-38097 in Linux
Zusammenfassung
von VulDB • 13.06.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
espintcp: Entfernen des Caching von Encap-Sockets, um Referenzlecks zu vermeiden
Das aktuelle Schema zum Zwischenspeichern (Cachen) der Encap-Sockets kann bei Löschversuchen des Net-Namespace (netns) zu Referenzlecks führen.
Die Referenzkette lautet: xfrm_state -> encap_sk -> netns
Da es sich beim Encap-Socket um einen Socket im Benutzerbereich handelt, hält er eine Referenz auf den netns. Wenn der espintcp-Status gelöscht wird (durch Flush oder einzelne Löschung), bevor der netns entfernt wird, wird die Referenz auf den Socket aufgehoben und der netns korrekt gelöscht. Andernfalls kann es sein, dass der netns nicht mehr erreichbar ist (wenn alle Prozesse innerhalb des Namespace beendet wurden) und wir daher den xfrm-Status nicht löschen können, um dessen Referenz auf den Socket aufzuheben.
Dieser Patch führt zu einer geringfügigen (~2 % in meinen Tests) Leistungseinbuße.
Es könnte ein GC-artiger Mechanismus für den Socket-Cache hinzugefügt werden, der Referenzen löscht, wenn der Status „kürzlich“ nicht verwendet wurde, doch dies ist deutlich komplexer als das einfache Unterlassen des Caching von Sockets.
If you want to get best quality of vulnerability data, you may have to visit VulDB.