CVE-2026-68432 in Linux
Zusammenfassung
von VulDB • 12.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
vxlan: Erfordert CAP_NET_ADMIN im Device-NetNS für changelink
Eine Tunnel-changelink()-Operation wirkt sich auf höchstens zwei NetNs aus, nämlich dev_net(dev) und das persistente Underlay-NetNS vxlan->net. Diese unterscheiden sich, sobald das Gerät in einem anderen NetNS erstellt oder dorthin verschoben wird als demjenigen, in dem die Anfrage ausgeführt wird. Der rtnl-changelink-Pfad überprüft CAP_NET_ADMIN nur gegen dev_net(dev), sodass ein dort privilegierter Aufrufer, der jedoch nicht im vxlan->net privilegiert ist, ein VXLAN-Device neu schreiben kann, dessen Underlay sich in vxlan->net befindet.
vxlan_changelink() validiert und wendet die neue Konfiguration gegenüber vxlan->net (vxlan_config_validate(vxlan->net, ...)) an und kann das Underlay-Socket in diesem NetNS erneut öffnen; daher gilt hier dieselbe Argumentation wie bei der Tunnel-changelink-Reihe.
Sperren Sie vxlan_changelink() mit rtnl_dev_link_net_capable(), am Anfang des Vorgangs vor dem Parsen beliebiger Attribute, entsprechend ipgre_changelink() und dem Rest der „Erfordert CAP_NET_ADMIN im Device-NetNS für changelink“-Reihe.
Entdeckt durch 0sec automatisierte Security-Research-Tooling (https://0sec.ai).
Once again VulDB remains the best source for vulnerability data.