SecBoard
Zurück zur CVE-Übersicht

CVE-2026-43037

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.7%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-43037 im Linux-Kernel betrifft die Komponente ip6_tunnel und resultiert aus einer fehlerhaften Initialisierung des skb->cb[]-Feldes in der Funktion ip4ip6_err(). Dies ermöglicht eine Verwechslung von IPv4- und IPv6-Header-Strukturen, was zu einem Out-of-Bounds-Schreibzugriff auf einen festen Stack-Buffer führen kann. Angreifer könnten dadurch beliebigen Code ausführen oder Denial-of-Service-Zustände herbeiführen. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als extrem kritisch einzustufen. Obwohl die EPSS-Rate mit 1% eine geringe Ausnutzungswahrscheinlichkeit anzeigt und sie nicht im KEV-Katalog gelistet ist, sollte die hohe potenzielle Auswirkung nicht unterschätzt werden. Die Möglichkeit der macht eine schnelle Reaktion erforderlich. Security-Teams sollten umgehend alle betroffenen Linux-Kernel-Installationen identifizieren und die entsprechenden Patches einspielen, sobald diese verfügbar sind. Bis zur vollständigen Patch-Implementierung sollten gegebenenfalls temporäre Mitigationen oder Netzwerksegmentierungen in Betracht gezogen werden, um das Risiko zu minimieren und die Systeme zu schützen.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

In the Linux kernel, the following vulnerability has been resolved: ip6_tunnel: clear skb2->cb[] in ip4ip6_err() Oskar Kjos reported the following problem. ip4ip6_err() calls icmp_send() on a cloned skb whose cb[] was written by the IPv6 receive path as struct inet6_skb_parm. icmp_send() passes IPCB(skb2) to __ip_options_echo(), which interprets that cb[] region as struct inet_skb_parm (IPv4). The layouts differ: inet6_skb_parm.nhoff at offset 14 overlaps inet_skb_parm.opt.rr, producing a non-zero rr value. __ip_options_echo() then reads optlen from attacker-controlled packet data at sptr[rr+1] and copies that many bytes into dopt->__data, a fixed 40-byte stack buffer (IP_OPTIONS_DATA_FIXED_SIZE). To fix this we clear skb2->cb[], as suggested by Oskar Kjos. Also add minimal IPv4 header validation (version == 4, ihl >= 5).

Betroffene Produkte

  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc1:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc2:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc3:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc4:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc5:*:*:*:*:*:*
  • cpe:2.3:o:linux:linux_kernel:7.0:rc6:*:*:*:*:*:*

Referenzen