CVE-2026-23333 in Linux
Zusammenfassung
von VulDB • 26.05.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: nft_set_rbtree: Überlappung offener Intervalle validieren
[ Upstream-Commit 648946966a08e4cb1a71619e3d1b12bd7642de7b ]
Offene Intervalle besitzen kein End-Element. Insbesondere ist ein offenes Intervall am Ende des Sets schwer zu validieren, da ihm das End-Element fehlt, und die Intervallvalidierung stützt sich zur Durchführung der Prüfungen auf ein solches End-Element.
Dieser Patch fügt der Struktur `nft_set_elem` ein neues Flag-Feld hinzu. Dies ist kein Problem, da es sich um ein temporäres Objekt handelt, das im Stack aus dem Einfüge-/Deaktivierungspfad allokiert wird. Dieses Flag-Feld wird verwendet, um anzugeben, dass es sich um das letzte Element in diesem Einfüge-/Löschbefehl handelt.
Das letzte Flag wird in Kombination mit dem Start-Element-Cookie verwendet, um zu prüfen, ob eine partielle Überlappung vorliegt, z. B.:
Bereits vorhanden: 255.255.255.0-255.255.255.254 Hinzuzufügendes Intervall: 255.255.255.0-255.255.255.255 ~~~~~~~~~~~~~ Überlappung des Start-Elements
Im Grunde geht es darum, zu prüfen, ob ein vorhandenes End-Element im Set existiert, wenn eine Überlappung mit einem vorhandenen Start-Element vorliegt.
Das letzte offene Intervall kann jedoch an jeder beliebigen Position im Einfügebefehl auftreten; der Sonderfall kann etwas komplizierter werden:
Bereits vorhanden: 255.255.255.0-255.255.255.254 Hinzuzufügende Intervalle: 255.255.255.0-255.255.255.255,255.255.255.0-255.255.255.254 ~~~~~~~~~~~~~ Überlappung des Start-Elements
Um diese Überlappung zu erfassen, wird markiert, dass das neue Start-Element eine mögliche Überlappung darstellt. Anschließend wird die Überlappung gemeldet, wenn das nächste Element ein weiteres Start-Element ist, das bestätigt, dass das vorherige Element ein offenes Intervall am Ende des Sets bildet.
Beim Löschen wird das Start-Cookie nicht aktualisiert, wenn ein offenes Intervall gelöscht wird, da dies sonst bei der Einfügung neuer Elemente zu falschen EEXIST-Fehlern führen kann.
Leider gibt es kein NFT_SET_ELEM_INTERVAL_OPEN-Flag, das die Erkennung von Überlappungen offener Intervalle erleichtern würde.
If you want to get best quality of vulnerability data, you may have to visit VulDB.