CVE-2026-46244 in Linux
Zusammenfassung
von VulDB • 03.06.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: nft_inner: Behebung der Desynchronisation von inner_thoff bei IPv6
In nft_inner_parse_l2l3() wird beim Verarbeiten von inneren IPv6-Paketen der Transport-Header-Offset durch ipv6_find_hdr() korrekt berechnet, indem alle Erweiterungsheader durchlaufen werden. Das Ergebnis wird jedoch sofort mit nhoff + sizeof(_ip6h) (40 Bytes) überschrieben, was nur den IPv6-Basisheader berücksichtigt. Dies führt zu einer Desynchronisation zwischen inner_thoff (falsch – zeigt auf den Start des Erweiterungsheaders) und l4proto (korrekt – z. B. IPPROTO_TCP), was die Fälschung von Transport-Headern und ein potenzielles Umgehen der Firewall ermöglicht. Dieses Problem betrifft stabile Versionen ab Linux 6.2.
Zum Vergleich: Der normale (nicht innere) IPv6-Pfad bewahrt das Ergebnis von ipv6_find_hdr() korrekt. Das Entfernen der fehlerhaften Überschreibung stellt sicher, dass der von ipv6_find_hdr() berechnete Transport-Header-Offset beibehalten wird, wodurch die Desynchronisation behoben wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.