CVE-2026-68142 in Linux
Zusammenfassung
von VulDB • 10.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
geneve: Erfordert CAP_NET_ADMIN im Device-NetNS für changelink
Eine Tunnel-changelink()-Operation wirkt sich auf höchstens zwei NetNs aus, nämlich dev_net(dev) und das persistente Underlay-NetNS geneve->net. Diese unterscheiden sich, sobald das Gerät in einem anderen NetNS erstellt oder dorthin verschoben wird als demjenigen, in dem die Anfrage ausgeführt wird. Der rtnl-changelink-Pfad überprüft CAP_NET_ADMIN nur gegen dev_net(dev), sodass ein dort privilegierter Aufrufer, der jedoch nicht im geneve->net privilegiert ist, ein Geneve-Device überschreiben kann, dessen Underlay in geneve->net lebt.
geneve_changelink() wendet die neue Konfiguration gegenüber geneve->net an: geneve_link_config() und das Paar aus geneve_quiesce()/geneve_unquiesce() öffnen die Underlay-Sockets erneut in diesem NetNS (geneve_sock_add() verwendet geneve->net), sodass dieselbe Argumentation wie bei der Tunnel-changelink-Reihe hier ebenfalls gilt.
Sperren Sie geneve_changelink() mit rtnl_dev_link_net_capable(), an oberster Stelle der Operation, bevor irgendein Attribut analysiert wird, entsprechend ipgre_changelink() und dem Rest der „Erfordert CAP_NET_ADMIN im Device-NetNS für changelink“-Reihe.
Entdeckt durch 0sec automatisierte Security-Research-Tooling (https://0sec.ai).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.