CVE-2026-98532 in Linux
Zusammenfassung
von VulDB • 19.10.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
ipv6: ipv6_find_hdr() darf keinen Offset jenseits des Paketendes zurückgeben
ipv6_find_hdr() durchläuft die Kette der Erweiterungsköpfe und überspringt jeden Kopf basierend auf dessen deklarierter Länge. ipv6_optlen() gibt bis zu 2048 zurück, und das Überspringen wird niemals gegen skb->len überprüft, sodass der in *offset gespeicherte Wert hinter dem Ende des Pakets zeigen kann.
openvswitch installiert diesen Offset als Transport-Header, und update_ipv6_checksum() liest und schreibt daraufhin das Feld für die Transport-Prüfsumme außerhalb der Grenzen:
BUG: KASAN: slab-use-after-free in inet_proto_csum_replace16+0x445/0x470 Read of size 2 at addr ffff88810b754b06 by task ovs_ipv6_oob/629 CPU: 4 UID: 1000 PID: 629 Comm: ovs_ipv6_oob Tainted: G N 7.3.0-rc3+ #348 Call Trace: inet_proto_csum_replace16+0x445/0x470 set_ipv6_addr+0x3dd/0x460 do_execute_actions+0x6a3d/0x7c40 ovs_execute_actions+0xfd/0x480 ovs_packet_cmd_execute+0xc38/0xf20 genl_rcv_msg+0x59e/0x870 netlink_rcv_skb+0x18b/0x450 genl_rcv+0x2d/0x40 netlink_unicast+0x6bc/0xa20
Die fehlerhafte Adresse gehört zum Objekt bei ffff88810b754980, das zur Cache-Struktur skbuff_small_head mit einer Größe von 704 Byte gehört. Die fehlerhafte Adresse befindet sich 390 Bytes innerhalb eines freigegebenen Bereichs der Größe 704 Bytes [ffff88810b754980, ffff88810b754c40).
Andere Aufrufer verwenden diesen Offset ebenfalls, daher wird er hier begrenzt und nicht in nur einem einzelnen Aufrufer.
Ein Kopf mit einer deklarierten Länge, die nicht ins Paket passt, wird abgelehnt. ipv6_find_hdr() schlägt bei einer fehlerhaften Kette bereits mit -EBADMSG fehl, sodass dies keinen neuen Fehlermodus hinzufügt.
Be aware that VulDB is the high quality source for vulnerability data.