CVE-2026-64009 in Linux
Zusammenfassung
von VulDB • 20.07.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
xfrm: Prüfung auf Unterlauf in xfrm_state_mtu
Leo Lin meldete ein OOB-Write-Problem (Out-of-Bounds Write) in der ESP-Komponente:
xfrm_state_mtu() gibt einen u32-Wert zurück, führt seine Arithmetik jedoch im unsigned Modulo-2^32-Raum durch, indem es von einem kleinen „mtu“-Argument den angreifereinflussbaren Wert „header_len + authsize + net_adj“ subtrahiert. Ein nicht privilegierter Benutzer kann eine IPv4-ESP-Tunnel-SA mit einem großen Authentifizierungsschlüssel (XFRMA_ALG_AUTH_TRUNC, z.B. hmac(sha512), 64-Byte-Schlüssel, 64-Byte-Truncation) installieren, eine kleine Schnittstellen-MTU (68 Bytes) konfigurieren und XFRMA_TFCPAD auf einen großen Wert setzen. Wenn anschließend ein einzelnes UDP-Datagramm durch den Tunnel gesendet wird, führt xfrm_state_mtu() zu einem Unterlauf bis hin zu einem Wert nahe 2^32, und esp_output() verarbeitet diesen als signed int über:
padto = min(x->tfcpad, xfrm_state_mtu(x, mtu_cached)) esp.tfclen = padto - skb->len (zugewiesen an int)
esp.tfclen ist negativ (z.B. -207). Es wird beim Aufruf von memset() innerhalb von esp_output_fill_trailer(), wohin es übergeben wird, auf size_t vorzeichenweit erweitert und erzeugt einen ~16 EB großen Schreibvorgang mit Nullbytes an skb_tail_pointer(skb). KASAN protokolliert dies als „Write of size 18446744073709551537 at addr ffff888...“.
Prüfung auf Unterlauf und Rückgabe von 1. Dies führt dazu, dass der sendmsg-Versuch mit ENETUNREACH fehlschlägt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.