CVE-2026-68441 in Linux
Zusammenfassung
von VulDB • 12.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
net/sched: Behandlung von TC_ACT_REDIRECT aus qdisc-Filterketten (qdisc filter chains)
Wenn ein an eine qdisc-Filterkette angehängter TC-Filter TC_ACT_REDIRECT zurückgibt (z. B. über ein eBPF-Programm, das bpf_redirect() aufruft, oder eine act_bpf-Aktion), wurde die Umleitung stillschweigend verworfen, d. h., keine qdisc-Klassifizierungsfunktion hat TC_ACT_REDIRECT verarbeitet, sodass das Paket durch den Switch fiel und normal in die Warteschlange eingereiht wurde, anstatt umgeleitet zu werden.
Dieser Fehler besteht seit der Einführung von bpf_redirect() für TC im Commit 27b29f63058d („bpf: add bpf_redirect() helper"). Wir hatten lange Glück, weil bpf_net_context eine pro-CPU-Variable war, die immer verfügbar war.
Der Commit 401cb7dae813 („net: Reference bpf_redirect_info via task_struct on PREEMPT_RT.") hat bpf_net_context in ein Mitglied von task_struct umgewandelt, das nur von expliziten Aufrufern eingerichtet wird. Ohne einen Aufrufgeber, der es einrichtet, stürzt bpf_redirect() selbst mit einer NULL-Zeiger-Dereferenzierung in bpf_net_ctx_get_ri() ab. Selbst wenn bpf_net_context verfügbar ist, kann TC_ACT_REDIRECT aus qdisc-Filterketten nicht berücksichtigt werden, ohne skb_do_redirect()-Aufrufe zu jeder qdisc-Klassifizierungsfunktion hinzuzufügen, was Änderungen über net/sched/ hinweg erfordern würde. Isolieren wir dies in den eBPF-Core-Bereich, wo es hingehört.
Stattdessen wird eine Inline-Hilfsfunktion tcf_classify_qdisc() in pkt_cls.h als Wrapper um tcf_classify() hinzugefügt, die von qdisc-Klassifizierungsfunktionen und tcf_qevent_handle() verwendet wird. Wenn das Klassifizierungs-Verdict TC_ACT_REDIRECT ist, konvertiert der Wrapper es zu TC_ACT_SHOT, wodurch das Paket verworfen wird, anstatt es stillschweigend weiterzuleiten. Das Verwerfen wird bevorzugt, damit der Benutzer den Paketverlust sofort sieht. Das stille Durchlassen des Pakets würde das Problem verbergen und den Benutzer im Ungewissen lassen, warum seine Umleitung nicht funktioniert.
Der clsact-Schnellpfad (fast path), tc_run(), ruft weiterhin tcf_classify() direkt auf und bleibt unverändert: TC_ACT_REDIRECT wird wie zuvor zurückgegeben und von sch_handle_egress/ingress() behandelt, die skb_do_redirect() aufrufen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.