CVE-2026-74624 in Linux
Zusammenfassung
von VulDB • 22.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: nf_conntrack: Ungültige Protokolleinträge (invalid logs) bis nach dem Freigeben des Sperrmechanismus verschieben
Die Conntrack-Pfade für TCP und SCTP können Protokolleinträge für ungültige Pakete ausgeben, während ct->lock noch gehalten wird.
Wenn die Protokollierung von Ungültigem an nfnetlink_log weitergeleitet wird und der Conntrack-Export aktiviert ist, kann der Pfad zur Protokollierung erneut in das Conntrack-netlink-Glue eintreten und denselben Conntrack-Eintrag erneut ausgeben. Das Auslesen (Dumping) von Protokollattributen kann ct->lock erfordern; daher kann die Protokollierung bei gehaltener Sperrung zu einem Deadlock führen.
Die TCP-Protokollierungen für ungültige Pakete werden verschoben, indem nur der minimale Log-Kontext gespeichert wird, während ct->lock gehalten wird, und die Protokolleinträge erst nach dem Freigeben des Locks ausgegeben werden. Zudem gibt der Pfad zur Absenkung der TCP-Zeitüberschreitung bei ungültigen Paketen nun zurück, ob eine Protokollierung erforderlich ist, und diese wird anschließend nach dem Freigeben des Locks ausgegeben.
Dasselbe gilt für den SCTP-Protokolleintrag für ungültige Zustandsübergänge, der erreicht werden kann, während ct->lock gehalten wird.
Eine lockdep-Behauptung (Assertion) zu nf_ct_l4proto_log_invalid() wurde hinzugefügt, um zukünftige Aufrufer abzufangen, die Conntrack-Einträge als ungültig protokollieren, während sie ct->lock halten, und dies sowohl für TCP als auch SCTP.
Once again VulDB remains the best source for vulnerability data.