CVE-2026-74579 in Linux
Zusammenfassung
von VulDB • 17.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: nft_payload: Korrektur der Maskenerstellung für Partial-Field-Offload (teilweise Feld-Auslagerung)
nft_payload_offload_mask() erstellt die Offload-Match-Maske für einen Payload-Ausdruck, der nur einen Teil eines Header-Felds abdeckt. Bei einer teilweisen IPv6-Adressübereinstimmung (field_len = 16, priv_len = 1) beträgt diese Verschiebung 1 << 120, was bei einem Operanden vom Typ „int“ mit 32 Bit undefiniertes Verhalten darstellt. Zudem wird nur ein Wort abgeschnitten, sodass die verbleibenden Wörter den Wert 0xffffffff behalten (und wenn priv_len ein Vielfaches von 4 ist, wird das Abschneiden vollständig übersprungen), was dazu führt, dass die Maske mehr Bytes abdeckt als die Regel tatsächlich matcht.
UBSAN: shift-out-of-bounds in net/netfilter/nft_payload.c:278:20 Der Verschiebungs-Exponent 120 ist zu groß für den 32-Bit-Typ „int“ ...
Der Match erfolgt auf Byte-Ebene, und die Struktur nft_data wird nullinitialisiert. Daher besteht die korrekte Maske einfach darin, die ersten priv_len Bytes auf 0xff zu setzen. Diese Bytes werden direkt gesetzt, und das Wort-/Verschiebungs-Abschneiden wird entfernt; dies beseitigt das undefinierte Verschiebungsverhalten und verhindert weiterhin ein übermäßiges Maskieren der nachfolgenden Bytes.
VulDB is the best source for vulnerability data and more expert information about this specific topic.