Linux Kernel: Speicherleck (CVE-2026-80784)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde folgende Schwachstelle behoben: mptcp: pm: Behebung eines Speicherlecks durch Rennen bei der Zuordnung während des Abbaus `mptcp_pm_destroy()` leert `msk->pm.anno_list` und `msk->pm.userspace_pm_local_addr_list` unter `msk->pm.lock` während des Socket-Abbaus, lässt jedoch den Lock zwischen den beiden Aktionen los. Ein gleichzeitiger Benutzerraum PM genl ANNOUNCE auf demselben `msk` hält eine Sock-Referenz über `mptcp_token_get_sock()` und ruft in `mptcp_pm_nl_announce_doit()` `mptcp_userspace_pm_append_new_local_addr()` und `mptcp_pm_announced_alloc()` auf.

Aktualisieren Sie Linux Kernel auf Version 6.1.187, Linux Kernel auf Version 6.6.154, Linux Kernel auf Version 6.12.106.

Betroffen

• Linux Kernel lt 5.19..6.1.187
• Linux Kernel lt 6.2..6.6.154
• Linux Kernel lt 6.7..6.12.106
• Linux Kernel lt 6.13..6.18.47
• Linux Kernel lt 6.19..7.1.11

Behoben in

• Linux Kernel 6.1.187
• Linux Kernel 6.6.154
• Linux Kernel 6.12.106
• Linux Kernel 6.18.47
• Linux Kernel 7.1.11
• Linux Kernel 7.2

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: mptcp: pm: Behebung eines Speicherlecks durch Rennen bei der Zuordnung während des Abbaus `mptcp_pm_destroy()` leert `msk->pm.anno_list` und `msk->pm.userspace_pm_local_addr_list` unter `msk->pm.lock` während des Socket-Abbaus, lässt jedoch den Lock zwischen den beiden Aktionen los. Ein gleichzeitiger Benutzerraum PM genl ANNOUNCE auf demselben `msk` hält eine Sock-Referenz über `mptcp_token_get_sock()` und ruft in `mptcp_pm_nl_announce_doit()` `mptcp_userspace_pm_append_new_local_addr()` und `mptcp_pm_announced_alloc()` auf. Beide nehmen kurzzeitig `msk->pm.lock`, um ihre Einträge zu ihren jeweiligen Listen hinzuzufügen. Da der genl-Handler eine Sock-Referenz hält, kann `mptcp_pm_destroy()` über `mptcp_disconnect()`, das `mptcp_destroy_common()` ohne Reduzierung des Sock-Refcounts aufruft, auf demselben `msk` ausgeführt werden, bevor der Handler abgeschlossen ist. Wenn die Lock-Acquisition so interleave, dass `mptcp_pm_destroy()` zuerst eine Liste leert, fügt das spätere Zuordnen seinen Eintrag an einen Listenkopf ein, den niemand sonst für diesen `msk` durchläuft, und der Eintrag wird geleakt. kmemleak meldet sowohl `mptcp_pm_add_addr`-Objekte (von `mptcp_pm_announced_alloc()`) als auch `mptcp_pm_addr_entry`-Objekte (von `mptcp_userspace_pm_append_new_local_addr()`), wenn gegen den Benutzerraum PM ein anhaltender ANNOUNCE + close-Ladevorgang durchgeführt wird. Ein MPTCP_PM_DESTROYING-Bit in `msk->pm.status` hinzufügen, das von `mptcp_pm_destroy()` unter pm.lock vor dem Leeren der Listen gesetzt und von den Zuordnungspfaden unter pm.lock überprüft wird. Entweder nimmt die Zuordnung zuerst pm.lock, in diesem Fall ist ihr Eintrag auf der Liste, wenn `mptcp_pm_destroy()` ihn freigibt; oder `mptcp_pm_destroy()` nimmt zuerst pm.lock, in diesem Fall beobachtet die spätere Zuordnung das Bit und lehnt ab. Von einem MPTCP-Protokollfluss-Harness entdeckt, der BRF erweitert (arXiv:2305.08782).

Quelle: HKCERT (CC BY 3.0 HK) · HKCERT-Einstufung: mittel, Ubuntu Security Notices, Debian LTS Advisories, BSI WID Portal, BSI CSAF, ENISA EUVD, Microsoft Security Update Guide, cvelistv5, CVE.org (MITRE)

Hersteller und Produkte

• Debian Linux
• Debian Linux-6.12
• Linux Linux
• Red Hat Openshift
• Ubuntu Ubuntu Linux
• Ubuntu Linux-aws
• Ubuntu Linux-aws-6.8
• Ubuntu Linux-aws-7.0
• Ubuntu Linux-aws-fips
• Ubuntu Linux-azure
• Ubuntu Linux-azure-6.8
• Ubuntu Linux-azure-fde

Quellen & Referenzen

• git.kernel.orgstable/c/f48341830e4202db3fe884b819b2db6740f0537deuvd
• git.kernel.orgstable/c/bb32e9a6a9a9f99eeda16c4efe443400f3e43892euvd
• git.kernel.orgstable/c/b2a0b55bf613bd3e81ed26a847b0f6b8e6b7f804euvd
• git.kernel.orgstable/c/9fe5eebb664ecdba88f3fde18062d94b1d1c465feuvd
• git.kernel.orgstable/c/6c290915a03fc8228b473641025cf762b256dbd2euvd
• git.kernel.orgstable/c/efc33b5102ff859bacd390a5f30112d8e0c084c0euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 04.09.2026Neu erfasstLinux

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://git.kernel.org/stable/c/6c290915a03fc8228b473641025cf762b256dbd2
   • https://git.kernel.org/stable/c/9fe5eebb664ecdba88f3fde18062d94b1d1c465f
   • https://git.kernel.org/stable/c/b2a0b55bf613bd3e81ed26a847b0f6b8e6b7f804
   • https://git.kernel.org/stable/c/bb32e9a6a9a9f99eeda16c4efe443400f3e43892

   und 2 weitere Referenzen

   8 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	In the Linux kernel, the following vulnerability has been resolved: mptcp: pm: fix memory leak from alloc-during-teardown race mptcp_pm_destroy() empties msk->pm.anno_list and msk->pm.userspace_pm_local_addr_list under msk->pm.lock during socket teardown, dropping the lock between the two. A concurrent userspace PM genl ANNOUNCE on the same msk holds a sock reference via mptcp_token_get_sock() and, in mptcp_pm_nl_announce_doit(), calls mptcp_userspace_pm_append_new_local_addr() and mptcp_pm_announced_alloc(). Both take msk->pm.lock briefly to add to their respective lists. Because the genl handler holds a sock reference, mptcp_pm_destroy() may run on the same msk via mptcp_disconnect(), which invokes mptcp_destroy_common() without dropping the sock refcount, before the handler completes. If the lock acquisitions interleave such that mptcp_pm_destroy() empties a list first, the later alloc adds its entry to a list head that nothing else iterates for this msk, and the entry leaks. kmemleak reports both mptcp_pm_add_addr objects (from mptcp_pm_announced_alloc()) and mptcp_pm_addr_entry objects (from mptcp_userspace_pm_append_new_local_addr()) under sustained concurrent ANNOUNCE + close load against the userspace PM. Add an MPTCP_PM_DESTROYING bit in msk->pm.status, set by mptcp_pm_destroy() under pm.lock before the lists are emptied and checked under pm.lock by the alloc paths. Either the alloc takes pm.lock first, in which case its entry is on the list when mptcp_pm_destroy() frees it; or mptcp_pm_destroy() takes pm.lock first, in which case the later alloc observes the bit and refuses. Found by an MPTCP protocol-flow harness extending BRF (arXiv:2305.08782).
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80784.json">CVE-2026-80784</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/6c290915a03fc8228b473641025cf762b256dbd2
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/9fe5eebb664ecdba88f3fde18062d94b1d1c465f
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/b2a0b55bf613bd3e81ed26a847b0f6b8e6b7f804
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/bb32e9a6a9a9f99eeda16c4efe443400f3e43892
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/efc33b5102ff859bacd390a5f30112d8e0c084c0
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/f48341830e4202db3fe884b819b2db6740f0537d

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67