Intel

CVE-2026-53362

Linux kernel (GCP) vulnerabilities

criticalKEV: aktiv ausgenutztPoCEPSS 0.5 %

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben:

ipv6: Berücksichtigung von fraggap auf dem paged-allocation-Weg

In __ip6_append_data(), wenn der paged-allocation-Zweig genommen wird (MSG_MORE / NETIF_F_SG / großer fraglen), werden alloclen und pagedlen wie folgt berechnet:

alloclen = fragheaderlen + transhdrlen;
pagedlen = datalen - transhdrlen;

datalen beinhaltet bereits fraggap (datalen = length + fraggap). Wenn fraggap ungleich null ist, handelt es sich nicht um das erste skb und transhdrlen ist null. Die fraggap-Bytes, die vom vorherigen skb übernommen wurden, werden direkt nach den Fragmentheadern im linearen Bereich des neuen skbs kopiert. Der lineare Bereich ist daher um fraggap Bytes zu klein, während pagedlen um denselben Betrag überschätzt wird, und der Kopiervorgang schreibt über skb->end in das folgende skb_shared_info.

Ein unprivilegierter Benutzer kann dies durch einen UDPv6-Socket auslösen, indem er MSG_MORE zusammen mit MSG_SPLICE_PAGES verwendet.

Die fehlerhafte Buchführung wurde durch den Commit 773ba4fe9104 ("ipv6: vermeide teilweisen Kopiervorgang für zc") eingeführt. Vor dem Commit ce650a166335 ("udp6: Korrigiere die Behandlung von MSG_SPLICE_PAGES in __ip6_append_data()"), führte der negative Kopierwert dazu, dass -EINVAL zurückgegeben wurde. Dieser spätere Commit erlaubte es, MSG_SPLICE_PAGES in diesem Fall fortzusetzen und machte so den Korruptionsauslöser auslösbar.

Der nicht-paged-Zweig setzt alloclen auf fraglen, was bereits fraggap berücksichtigt, da datalen dies tut. Bringe den paged-Zweig mit ein, indem du fraggap zu alloclen hinzufügst und von pagedlen subtrahierst.

Nach dieser Anpassung kollabiert der Kopiervorgang auf dem paged-Weg nicht mehr zu -fraggap, also entferne den veralteten Kommentar, der diese alte Arithmetik beschreibt. Da für einen gültigen MSG_SPLICE_PAGES-Fall kein negativer Kopierwert mehr erwartet wird, entferne die Ausnahme von MSG_SPLICE_PAGES aus der Überprüfung auf negativen Kopiervorgang.

Quelle: UBUNTU_USNDEBIAN_DSAUBUNTU_USNUBUNTU_USNBSIBSI_CSAFCISA_KEVNVDCVELISTV5MSRCDEBIAN_DSA

Behebung & Mitigation

Warum sofort handeln?

Priorisierung

Der CVSS-Vektor AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H beschreibt eine lokal ausnutzbare Schwachstelle mit niedrigen Voraussetzungen (lokaler, nicht-privilegierter Zugang genügt), die zu vollständiger Integritäts- und Verfügbarkeitskompromittierung führt — klassisches Profil für eine lokale Privilegienerweiterung bis zu Root. Der EPSS-Wert von 0,51 % (Perzentile 41,5 %) ist moderat; die CISA-KEV-Aufnahme signalisiert jedoch bestätigte Ausnutzung, was den tatsächlichen Risikodruck deutlich über den EPSS-Wert hebt. Für NIS2-Organisationen mit Multi-Tenant-Linux-Infrastruktur, Container-Plattformen oder Shared-Development-Umgebungen ist die Patch-Priorisierung hoch; reine Einzel-Nutzer-Systeme ohne lokalen Fremdzugang sind weniger exponiert. Das Fehlen eines bekannten Ransomware-Kampagnenbezugs (kev_known_ransomware = FALSE) reduziert die unmittelbare Breitenwirkung, schließt aber gezielte Post-Exploitation-Nutzung nach initialem Zugang nicht aus.

Runbook · Schritt 1

Sofort-Response (0-24 h)

  • Kernel-Patch einspielen: Betroffene Versionsbereiche sind 6.0–6.1.177, 6.2–6.6.144, 6.7–6.12.95, 6.13–6.18.38 und 6.19–7.1.3. Gepatchte Versionen (upstream): ≥ 6.1.178, ≥ 6.6.145, ≥ 6.12.96, ≥ 6.18.39, ≥ 7.1.4 — genaue Paketnummern im jeweiligen Vendor-Advisory (SUSE, Red Hat, Debian, Ubuntu) nachschlagen und sofort einspielen.
  • Systeme mit lokalem Benutzerzugang priorisieren: Da der CVSS-Vektor AV:L/PR:L ist, sind Multi-Tenant-Systeme, Shared-Hosting-Umgebungen, Container-Hosts und CI/CD-Build-Nodes mit nicht-privilegierten Nutzern am stärksten gefährdet — diese zuerst patchen oder isolieren.
  • IPv6 auf exponierten Systemen temporär deaktivieren, falls ein sofortiger Patch nicht möglich ist: sysctl -w net.ipv6.conf.all.disable_ipv6=1 (Auswirkungen auf IPv6-abhängige Dienste vorab prüfen).
  • MSG_MORE / MSG_SPLICE_PAGES auf UDPv6-Sockets einschränken: Prüfen, ob Anwendungen oder Bibliotheken diese Socket-Optionen nutzen; ggf. über AppArmor/SELinux-Profile einschränken.
  • Kernel-Live-Patching prüfen: SUSE Live Patching und Red Hat kpatch können auf produktiven Systemen ohne Neustart eingesetzt werden — Verfügbarkeit des Patches für die jeweilige Kernel-Version beim Hersteller verifizieren.

Runbook · Schritt 2

Mitigation-Layer

  • Netzwerksegmentierung: Systeme, auf denen nicht-privilegierte Nutzer lokale Prozesse ausführen können (z. B. Shared-Linux-Server, Kubernetes-Nodes), in dedizierte Netzwerksegmente isolieren; laterale Bewegung nach einer lokalen Privilegienerweiterung erschweren.
  • Seccomp-Profile verschärfen: sendmsg-Syscalls mit MSG_MORE (Flag 0x8000) und MSG_SPLICE_PAGES (Flag 0x8000000) in Seccomp-Allowlists explizit prüfen; für Container-Workloads restriktive Profile erzwingen (z. B. über Kubernetes securityContext.seccompProfile).
  • AppArmor/SELinux-Mandatory-Access-Control: Sicherstellen, dass nicht-privilegierte Prozesse keine CAP_NET_RAW- oder CAP_NET_ADMIN-Fähigkeiten besitzen; SELinux-Booleans deny_ptrace und secure_mode aktivieren.
  • Least-Privilege für Dienste: Alle Dienste, die UDPv6-Sockets öffnen, unter dedizierten, nicht-privilegierten Systemaccounts ohne Shell-Zugang betreiben; NoNewPrivileges=yes in Systemd-Unit-Dateien setzen.
  • Container-Runtime-Härtung: In Kubernetes/Docker-Umgebungen privileged: false, allowPrivilegeEscalation: false und readOnlyRootFilesystem: true erzwingen; User-Namespace-Isolation aktivieren (--userns-remap in Docker).

Runbook · Schritt 3

Detection-Regeln

  • Auditd — Syscall-Überwachung: Regel auf sendmsg-Aufrufe mit ungewöhnlichen Flags von nicht-privilegierten Nutzern (UID ≥ 1000) auf IPv6-Sockets setzen: auditctl -a always,exit -F arch=b64 -S sendmsg -F auid>=1000 -F key=ipv6_sendmsg_suspicious
  • Kernel-Dmesg / Syslog — Heap-Korruption: Auf Kernel-Panic-Meldungen, KASAN- oder SLUB-Fehlermeldungen im Zusammenhang mit __ip6_append_data oder skb_shared_info überwachen: grep -E "KASAN|skb_shared_info|ip6_append_data|BUG: unable to handle" /var/log/kern.log
  • Sigma-Regel (Linux auditd): 
    title: Suspicious UDPv6 sendmsg with MSG_MORE
logsource: {product: linux, service: auditd}
detection:
  selection:
    type: SYSCALL
    syscall: sendmsg
    auid|gte: 1000
  condition: selection
  • EDR/Prozess-Telemetrie: Prozesse überwachen, die nach einem sendmsg-Aufruf unerwartet erhöhte Privilegien (UID 0) erlangen — Prozessbaum-Anomalien (z. B. Shell-Spawn aus einem Netzwerk-Daemon) als Indikator werten.
  • Netzwerk-Telemetrie (Zeek/Suricata): Ungewöhnlich fragmentierte IPv6-UDP-Pakete von internen Hosts auf interne Ziele überwachen; hohe Fragmentierungsraten von einzelnen Quell-IPs als Anomalie flaggen.

Metriken

Severity
critical
Priority-Score
231.31
KEV-Status
Aktiv ausgenutzt
Exploit-Reife
aktiv ausgenutzt (KEV)
XIEM Effective CVSS
7.3
Quelle: nvd-v3
CVSS v3
7.3
CVSS v4
—
EPSS-Perzentil
41.9 %
Hoch — CVE rangiert über dem Median aller heute bewerteten CVEs (Rang ≥ 36 %).
EPSS-Score
0.5 %
Niedrig — Modell schätzt < 1 % Ausnutzungs-Wahrscheinlichkeit.
Veröffentlicht
2026-09-07 09:05 UTC
CWE
—

Re-Analyse & Statuswechsel

Chronologie der NVD-Audit-Events für diese CVE — Reanalyses, CVSS-Updates, CPE-Diffs.

  1. Modified Analysis2026-08-28 12:21 UTC· nvd@nist.gov
    • Reference Type: CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-53362 Types: US Government Resource
  2. CVE Modified2026-08-28 05:16 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • SSVC: {"id":"CVE-2026-53362","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technica… → {"id":"CVE-2026-53362","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technica…
  3. CVE Modified2026-08-27 20:17 UTC· 134c704f-9b21-4f2e-91b3-4a467353bcc0
    • Reference: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-53362
    • SSVC: {"id":"CVE-2026-53362","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalI… → {"id":"CVE-2026-53362","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"no"},{"technica…
  4. CVE Modified2026-08-17 05:17 UTC· 416baaa9-dc9f-4396-8d5f-8c081fb06d67
    • Affected: Linux, Linux → Linux, Linux
  5. Initial Analysis2026-07-22 19:07 UTC· nvd@nist.gov
    • CWE: NVD-CWE-noinfo
    • CPE Configuration: OR *cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* versions from (including) 6.2 up to (excluding) 6.6.144 *cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* versions from (including) 6.7 up to (excluding) 6.12.95 *cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* versions from (including) 6.13 up to (excluding) 6.18.38 *cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* versions from (including) 6.19 up to (excluding) 7.1.3 *cpe:2.3:o:linux:linux_kernel:*:*:*:*:*:*:*:* versions from (including) 6.0 up to (excluding) 6.1.177
    • Reference Type: kernel.org: https://git.kernel.org/stable/c/14200d435af9a9eeb444f529fc2f689a236b7962 Types: Patch
    • Reference Type: kernel.org: https://git.kernel.org/stable/c/46f201f8b4c39633a1fa3dc12459f506d470993d Types: Patch

Betroffene Betriebssysteme

  • linux

    redhat / enterprise_linux10.0

  • linux

    redhat / enterprise_linux7.0

  • linux

    redhat / enterprise_linux8.0

  • linux

    redhat / enterprise_linux9.0

  • linux

    ubuntu / linux-aws-6.8jammy

  • linux

    ubuntu / linux-azureresolute

  • linux

    ubuntu / linux-azuretrusty

  • linux

    ubuntu / linux-azurexenial

  • linux

    ubuntu / linux-azure-4.15bionic

  • linux

    ubuntu / linux-azure-5.4bionic

  • linux

    ubuntu / linux-azure-fdenoble

  • linux

    ubuntu / linux-azure-fderesolute

  • linux

    ubuntu / linux-azure-fde-6.8jammy

  • linux

    ubuntu / linux-azure-fipsbionic

  • linux

    ubuntu / linux-azure-fipsfocal

  • linux

    ubuntu / linux-azure-fipsnoble

  • linux

    ubuntu / linux-fipsjammy

  • linux

    ubuntu / linux-gcp-7.0noble

  • linux

    ubuntu / linux-gkejammy

  • linux

    ubuntu / linux-nvidia-tegranoble

  • linux

    ubuntu / linux-raspinoble

  • linux

    ubuntu / linux-raspi-realtimenoble

  • linux

    linux / linux_kernel2.6.12

  • linux

    linux / linux_kernel2.6.15

Öffentliche Exploit-Referenzen

Öffentliche Proof-of-Concepts und Detection-Templates für diese Schwachstelle. Die Reife reicht von gemeldeten PoCs über funktionsfähige Detection-Skripte bis hin zu vollständig waffenfähigen Exploit-Modulen. NEOSEC mirrort den Code intern für forensische Analysen; nach außen verlinken wir ausschließlich auf die Original-Quellen.

Quellen & Referenzen

Verknüpfte CVEs

1392 weitere CVEs anzeigen

Verknüpfte Empfehlungen

IDCVE-2026-53362
Linux kernel (GCP) vulnerabilities — CVE-2026-53362 | NEOSEC Intel