CVE-2026-31424 in Linux
Zusammenfassung
von VulDB • 27.05.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: x_tables: Einschränkung der xt_check_match/xt_check_target-Erweiterungen für NFPROTO_ARP
Weiming Shi erklärt:
xt_match- und xt_target-Strukturen, die mit NFPROTO_UNSPEC registriert wurden, können über nft_compat von jeder Protokollfamilie geladen werden. Wenn ein solches Match/Target .hooks festlegt, um einzuschränken, auf welchen Hooks es ausgeführt werden darf, verwendet die Bitmaske NF_INET_*-Konstanten. Dies ist nur für Familien korrekt, deren Hook-Layout mit NF_INET_* übereinstimmt: IPv4, IPv6, INET und Bridge teilen sich alle dieselben fünf Hooks (PRE_ROUTING ... POST_ROUTING).
ARP verfügt nur über drei Hooks (IN=0, OUT=1, FORWARD=2) mit unterschiedlicher Semantik. Da NF_ARP_OUT == 1 == NF_INET_LOCAL_IN, besteht die .hooks-Validierung aus falschen Gründen stillschweigend, wodurch Matches auf ARP-Chains ausgeführt werden können, wo die Hook-Annahmen (z. B. dass state->in auf Input-Hooks gesetzt ist) nicht zutreffen. Dies führt zu NULL-Pointer-Dereferenzierungen; xt_devgroup ist ein konkretes Beispiel:
Oops: general protection fault, wahrscheinlich für nicht-kanonische Adresse 0xdffffc0000000044: 0000 [#1] SMP KASAN NOPTI
KASAN: null-ptr-deref im Bereich [0x0000000000000220-0x0000000000000227]
RIP: 0010:devgroup_mt+0xff/0x350 Call Trace: <TASK> nft_match_eval (net/netfilter/nft_compat.c:407) nft_do_chain (net/netfilter/nf_tables_core.c:285) nft_do_chain_arp (net/netfilter/nft_chain_filter.c:61) nf_hook_slow (net/netfilter/core.c:623) arp_xmit (net/ipv4/arp.c:666) </TASK> Kernel panic - not syncing: Fatal exception in interrupt
Die Behebung erfolgt durch die Einschränkung von arptables auf NFPROTO_ARP-Erweiterungen. Beachten Sie, dass arptables-legacy nur Folgendes unterstützt:
- arpt_CLASSIFY - arpt_mangle - arpt_MARK
die explizite NFPROTO_ARP-Match/Target-Deklarationen bereitstellen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.