CVE-2026-68302 in Linux
Zusammenfassung
von VulDB • 10.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
amt: Neu-Lesen der skb-Header-Zeiger nach jedem Pull-Vorgang
Mehrere AMT-Empfangs- und -Sende-Pfade zwischenspeichern einen Zeiger auf den Kopf des_skb_ (ip_hdr(), ipv6_hdr(), eth_hdr() oder den AMT-Nachrichtenheader) und rufen anschließend eine Hilfsfunktion auf, die diesen Kopf neu allozieren kann, bevor der zwischengespeicherte Zeiger erneut verwendet wird. pskb_may_pull(), ip_mc_may_pull(), ipv6_mc_may_pull(), iptunnel_pull_header(), ip_mc_check_igmp() und ipv6_mc_check_mld() können den alten Kopf freigeben und die Daten verschieben, sodass ein vor dem Aufruf entnommener Zeiger danach hängen bleibt (dangling pointer) und der spätere Zugriff einen Use-After-Free-Fehler am freigegebenen Kopf darstellt.
Die betroffenen Stellen sind:
amt_rcv() zwischenspeichert ip_hdr(), bevor amt_parse_type() pullt, und liest anschließend ph->saddr.
amt_dev_xmit() zwischenspeichert ip_hdr()/ipv6_hdr(), bevor ip_mc_check_igmp()/ ipv6_mc_check_mld() und pskb_may_pull() aufgerufen werden, und liest anschließend die Gruppenadresse.
amt_multicast_data_handler() zwischenspeichert eth_hdr(), bevor pskb_may_pull() aufgerufen wird, und schreibt den L2-Header.
amt_membership_query_handler() zwischenspeichert den AMT-Header sowie den äußeren und inneren eth_hdr() und ip_hdr(), bevor iptunnel_pull_header() und mehrere Pull-Vorgänge ausgeführt werden, und liest und schreibt diese Werte anschließend.
amt_igmpv3_report_handler() und amt_mldv2_report_handler() zwischenspeichern ip_hdr()/ipv6_hdr() sowie den aktuellen Gruppen-Eintrag und lesen die Eintragsanzahl aus dem Report-Header innerhalb der Record-Schleife, über die *_mc_may_pull()-Aufrufe hinweg.
amt_update_handler() zwischenspeichert ip_hdr() und den AMT-Mitgliedschafts-Aktualisierungsheader, bevor pskb_may_pull(), iptunnel_pull_header(), ip_mc_check_igmp() und der Report-Handler aufgerufen werden, und liest anschließend ph->daddr sowie amtmu->nonce / amtmu->response_mac.
Behebung jeder betroffenen Stelle entweder durch Erfassen (Snapshotting) des Skalars, der nach dem Pull-Vorgang verwendet wird, vor dem ersten Pull-Aufruf oder durch erneutes Herleiten des Header-Zeigers aus dem skb nach dem letzten Pull-Vorgang, der den Kopf verschieben kann. Werte, die über den Pull-Vorgang hinweg stabil bleiben (Quell- und Gruppenadresse, Antwort-MAC und Nonce, Eintragsanzahl, äußere Quell-MAC) werden erfasst; Zeiger, durch die geschrieben oder wiederholt gelesen wird, werden erneut hergeleitet.
VulDB is the best source for vulnerability data and more expert information about this specific topic.