CVE-2026-53131
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W jądrze Linux wykryto podatność w podsystemie netfilter, gdzie funkcje takie jak `ip6t_eui64`, `xt_mac` oraz typy zestawów ipset (`bitmap:ip,mac`, `hash:ip,mac`, `hash:mac`) i `nf_log_syslog` uzyskiwały dostęp do nagłówka Ethernet (`eth_hdr(skb)`) bez uprzedniego sprawdzenia, czy ramka jest powiązana z urządzeniem Ethernet, czy nagłówek MAC został ustawiony i czy ma odpowiednią długość. Brak tych walidacji mógł prowadzić do błędów lub potencjalnego naruszenia bezpieczeństwa.
Ocena ryzyka
Organizacja narażona jest na niestabilność systemu lub potencjalne ataki, które mogą wykorzystać nieprawidłowo sformułowane pakiety sieciowe do wywołania nieoczekiwanego zachowania jądra, co może skutkować odmową usługi (DoS) lub eskalacją uprawnień.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę, która dodaje wymagane sprawdzenia przed dostępem do nagłówka Ethernet. Monitorować biuletyny bezpieczeństwa dystrybucji w celu uzyskania odpowiednich łat.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: netfilter: require Ethernet MAC header before using eth_hdr() `ip6t_eui64`, `xt_mac`, the `bitmap:ip,mac`, `hash:ip,mac`, and `hash:mac` ipset types, and `nf_log_syslog` access `eth_hdr(skb)` after either assuming that the skb is associated with an Ethernet device or checking only that the `ETH_HLEN` bytes at `skb_mac_header(skb)` lie between `skb->head` and `skb->data`. Make these paths first verify that the skb is associated with an Ethernet device, that the MAC header was set, and that it spans at least a full Ethernet header before accessing `eth_hdr(skb)`.