SecBoard
Zurück zur CVE-Übersicht

CVE-2026-89783

CRITICAL(9.8)

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Risk Signal Score25/100 — MITTEL
  • CVSS 9.8 — Kritisch

Erwähnungen (letzte 60 Tage)

Artikel

EPSS-Score

0.7%

Exploit-Wahrscheinlichkeit (30 Tage)

CVSS Score

9.8

Technische Schwere

SecBoard-Einordnung

Die Schwachstelle CVE-2026-89783 im Linux-Kernel betrifft die Komponente xfrm6 und ist eine Out-of-Bounds-Schreibfehler. Dieser Fehler tritt in der Funktion xfrm6_input_addr() auf, wenn der Sicherheitspfad (secpath) voll ist, was zu einem Überschreiben des Arrays um ein Element führt. Die Auswirkung ist ein möglicher Systemabsturz, der durch UBSAN_BOUNDS erkannt wird. Mit einem CVSS-Score von 9.8 (CRITICAL) ist diese Schwachstelle als äußerst kritisch einzustufen. Die EPSS-Wahrscheinlichkeit für eine Ausnutzung liegt jedoch bei nur 1%, was auf eine derzeit geringe Wahrscheinlichkeit aktiver Exploits hindeutet. Die Schwachstelle ist nicht in der KEV-Liste aufgeführt, was ebenfalls die aktuelle Bedrohung als nicht unmittelbar aktiv ausgenutzt einordnet. Security-Teams sollten die Verfügbarkeit von Patches für den Linux-Kernel genau überwachen und diese umgehend einspielen, sobald sie veröffentlicht werden. Obwohl die Exploit-Wahrscheinlichkeit gering ist, erfordert die Kritikalität der Schwachstelle eine schnelle Reaktion, um die Systemstabilität zu gewährleisten und potenzielle Denial-of-Service-Angriffe zu verhindern.

KI-gestützte Einordnung auf Basis der NVD-Daten.

Beschreibung

In the Linux kernel, the following vulnerability has been resolved: xfrm6: fix out-of-bounds write in xfrm6_input_addr() when secpath is full The depth check in xfrm6_input_addr() is off by one: if (1 + sp->len == XFRM_MAX_DEPTH) goto drop; ... sp->xvec[sp->len++] = x; xfrm_input() can leave sp->len == XFRM_MAX_DEPTH, and the transport-mode receive path re-enters IPv6 input via xfrm_trans_reinject() with that secpath preserved. If the inner packet carries a destination-options HAO option or a type-2 routing header, xfrm6_input_addr() is called with sp->len == XFRM_MAX_DEPTH; the check (1 + 6 == 6) is false, so sp->xvec[sp->len++] writes one slot past the 6-element xvec[]. The write stays within the sec_path allocation (invisible to KASAN); UBSAN_BOUNDS flags it and panics under panic_on_warn. Use "sp->len >= XFRM_MAX_DEPTH", matching xfrm_input(). This also restores one chain level the old check rejected at sp->len == 5. UBSAN: array-index-out-of-bounds in net/ipv6/xfrm6_input.c:309:10 index 6 is out of range for type 'xfrm_state *[6]'

Referenzen