Linux Kernel: Use-After-Free (CVE-2026-80837)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde folgende Schwachstelle behoben: netfilter: nf_tables: Paketpfadobjektbenachrichtigungen nicht in Warteschlange stellen Alle Datei:Zeilenverweise unten beziehen sich auf v7.2-rc4 (ac5b0e5651b1). Die Spur wurde erfasst auf 7.2.0-rc6-kasan72rc6 (075b74841bd0), wo dieselben Zeilen gelten. nft_obj_notify() wird exportiert und erreicht über den Paketpfad.

Aktualisieren Sie Linux Kernel auf Version 6.1.191, Linux Kernel auf Version 6.6.158, Linux Kernel auf Version 6.12.108.

Betroffen

• Linux Kernel lt 5.9..6.1.191
• Linux Kernel lt 6.2..6.6.158
• Linux Kernel lt 6.7..6.12.108
• Linux Kernel lt 6.13..6.18.49
• Linux Kernel lt 6.19..7.1.13
• Linux Kernel lt 7.2..7.2.3

Behoben in

• Linux Kernel 6.1.191
• Linux Kernel 6.6.158
• Linux Kernel 6.12.108
• Linux Kernel 6.18.49
• Linux Kernel 7.1.13
• Linux Kernel 7.2.3
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: netfilter: nf_tables: Paketpfadobjektbenachrichtigungen nicht in Warteschlange stellen Alle Datei:Zeilenverweise unten beziehen sich auf v7.2-rc4 (ac5b0e5651b1). Die Spur wurde erfasst auf 7.2.0-rc6-kasan72rc6 (075b74841bd0), wo dieselben Zeilen gelten. nft_obj_notify() wird exportiert und erreicht über den Paketpfad. Sein einziger im-Tree-Aufrufer ist nft_quota_obj_eval() (net/netfilter/nft_quota.c:68), welcher mit GFP_ATOMIC benachrichtigt, während eine Regel für ein transitierendes Paket ausgewertet wird und kein Mutex hält. Seit dem Commit 67cc570edaa0 ("netfilter: nf_tables: mehrere Benachrichtigungen in einer einzigen skbuff zusammenfassen") wird diese Benachrichtigung nicht mehr sofort gesendet. __nft_obj_notify() stellt sie über nft_notify_enqueue() (net/netfilter/nf_tables_api.c:1211) in die Warteschlange von nft_net->notify_list mittels list_add_tail(). notify_list hat keinen eigenen Lock (include/net/netfilter/nf_tables.h:1951), es wird durch commit_mutex serialisiert: die sechs anderen Einfügeorte laufen alle innerhalb einer netlink-Transaktion, und der Abfluss in nft_commit_notify() (net/netfilter/nf_tables_api.c:10746) führt list_del() + kfree_skb() von nf_tables_commit() mit commit_mutex gehalten aus. Das Senden von Paketen durch eine Kette, die auf ein erschöpftes Quota-Objekt verweist, läuft daher gegen einen nicht gesperrten list_add_tail() und list_del() + kfree_skb() auf einem anderen CPU. Die WRITE_ONCE(prev->next, new) in __list_add() speichert dann durch eine sk_buff, die bereits freigegeben wurde: BUG: KASAN: slab-use-after-free in __nft_obj_notify+0x2c5/0x2d0 Schreiben der Größe 8 an Adresse ff110001047183c0 durch Aufgabe poc/76 CPU: 0 UID: 1000 PID: 76 Comm: poc Beeinträchtigt: G W 7.2.0-rc6-kasan72rc6 #4 Aufrufverfolgung: <IRQ> __nft_obj_notify (include/linux/list.h:164 include/linux/list.h:191 net/netfilter/nf_tables_api.c:1211 net/netfilter/nf_tables_api.c:8743) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain_inet nf_hook_slow __ip_local_out ip_push_pending_frames udp_send_skb udp_sendmsg __x64_sys_sendto Von Aufgabe 77 zugewiesen: __alloc_skb (net/core/skbuff.c:704) __nft_obj_notify (include/net/netlink.h:1055 net/netfilter/nf_tables_api.c:8731) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain Von Aufgabe 79 freigegeben: nf_tables_commit (include/linux/skbuff.h:1332 net/netfilter/nf_tables_api.c:10759 net/netfilter/nf_tables_api.c:11185) nfnetlink_rcv_batch (net/netfilter/nfnetlink.c:574) netlink_unicast netlink_sendmsg Die fehlerhafte Adresse gehört zur cache skbuff_head_cache der Größe 232 Das Warteschlangen von der Paketpfad ist falsch, selbst wenn man das Rennen beiseite lässt: notify_list wird nur durch nft_commit_notify() von nf_tables_commit() (:11185) abgeleert, so dass eine außerhalb einer Transaktion eingereihte Benachrichtigung nicht gesendet wird, bis eine spätere netlink-Batch-Transaktion bestätigt, falls überhaupt. Der gfp-Argument, den nft_obj_notify() immer noch nimmt, ist ein Überbleibsel des vor-67cc570edaa0 Verhaltens, wo dieser Pfad nfnetlink_send() direkt aufgerufen hat. Stelle das wieder her: trenne die Nachrichtenkonstruktion in nft_obj_notify_alloc() ab und lasse jeden Aufrufer entscheiden, was er mit der skb machen soll. nft_obj_notify(), die exportierte, die über den Paketpfad erreicht wird, sendet sie sofort; nf_tables_obj_notify(), die unter commit_mutex läuft, hält das Warteschlangen aufrecht, so dass Transaktionsbenachrichtigungen weiterhin zusammengefasst werden.

Quelle: HKCERT (CC BY 3.0 HK) · HKCERT-Einstufung: mittel, Ubuntu Security Notices, Debian LTS Advisories, Debian Security Advisories, cvelistv5, Microsoft Security Update Guide, ENISA EUVD, NVD (NIST), CVE.org (MITRE), BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Debian Linux
• Debian Linux-6.12
• Linux Linux
• Red Hat Openshift
• Ubuntu Ubuntu Linux
• Ubuntu Linux-aws
• Ubuntu Linux-aws-6.8
• Ubuntu Linux-aws-7.0
• Ubuntu Linux-aws-fips
• Ubuntu Linux-azure
• Ubuntu Linux-azure-6.8
• Ubuntu Linux-azure-fde

Quellen & Referenzen

• git.kernel.orgstable/c/df86c0e84025be8b6dd572a20852698927aa666beuvd
• git.kernel.orgstable/c/6fa88d11983c6fe693c13ed7c5b3b75ae9f39de6euvd
• git.kernel.orgstable/c/e97e2d6d0b150fd78be573f9fdf193f204d9334eeuvd
• git.kernel.orgstable/c/68de7f3a38acab355c24114f77bf00d3094ce4daeuvd
• git.kernel.orgstable/c/7904b94768e983bcb2be34a8d6d1f3450f5b838beuvd
• git.kernel.orgstable/c/6989f298103f575a768a85e4b19d2384709237f8euvd
• git.kernel.orgstable/c/f010756ed75ac003146a1cbc93501092343bb3a3euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 30.10.2026Eintrag geändertLinux

   Neue Referenzen:

   • https://git.kernel.org/stable/c/f010756ed75ac003146a1cbc93501092343bb3a3
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80837.json">CVE-2026-80837</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/f010756ed75ac003146a1cbc93501092343bb3a3

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

2. 19.10.2026Eintrag geändertLinux

   1 Einzeländerung: Betroffene Versionen (Herausgeber)

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80837.json">CVE-2026-80837</a>

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

3. 03.10.2026Eintrag geändertLinux

   Neue Referenzen:

   • https://git.kernel.org/stable/c/6989f298103f575a768a85e4b19d2384709237f8
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80837.json">CVE-2026-80837</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/6989f298103f575a768a85e4b19d2384709237f8

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

4. 04.09.2026Neu erfasstLinux

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://git.kernel.org/stable/c/68de7f3a38acab355c24114f77bf00d3094ce4da
   • https://git.kernel.org/stable/c/6fa88d11983c6fe693c13ed7c5b3b75ae9f39de6
   • https://git.kernel.org/stable/c/7904b94768e983bcb2be34a8d6d1f3450f5b838b
   • https://git.kernel.org/stable/c/df86c0e84025be8b6dd572a20852698927aa666b

   und 1 weitere Referenz

   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: don't queue packet path object notifications All file:line references below are against v7.2-rc4 (ac5b0e5651b1). The trace was captured on 7.2.0-rc6-kasan72rc6 (075b74841bd0), where the same lines apply. nft_obj_notify() is exported and reached from the packet path. Its only in-tree caller is nft_quota_obj_eval() (net/netfilter/nft_quota.c:68), which notifies with GFP_ATOMIC while evaluating a rule for a transiting packet, holding no mutex. Since commit 67cc570edaa0 ("netfilter: nf_tables: coalesce multiple notifications into one skbuff") that notification is no longer sent immediately. __nft_obj_notify() queues it onto nft_net->notify_list via nft_notify_enqueue() (net/netfilter/nf_tables_api.c:1211), which is a bare list_add_tail(). notify_list has no lock of its own (include/net/netfilter/nf_tables.h:1951), it is serialised by commit_mutex: the six other enqueue sites all run inside a netlink transaction, and the drain in nft_commit_notify() (net/netfilter/nf_tables_api.c:10746) does list_del() + kfree_skb() from nf_tables_commit() with commit_mutex held. Sending packets through a chain that references a depleted quota object therefore races an unlocked list_add_tail() against list_del() + kfree_skb() on another CPU. The WRITE_ONCE(prev->next, new) in __list_add() then stores through an sk_buff that has already been freed: BUG: KASAN: slab-use-after-free in __nft_obj_notify+0x2c5/0x2d0 Write of size 8 at addr ff110001047183c0 by task poc/76 CPU: 0 UID: 1000 PID: 76 Comm: poc Tainted: G W 7.2.0-rc6-kasan72rc6 #4 Call Trace: <IRQ> __nft_obj_notify (include/linux/list.h:164 include/linux/list.h:191 net/netfilter/nf_tables_api.c:1211 net/netfilter/nf_tables_api.c:8743) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain_inet nf_hook_slow __ip_local_out ip_push_pending_frames udp_send_skb udp_sendmsg __x64_sys_sendto Allocated by task 77: __alloc_skb (net/core/skbuff.c:704) __nft_obj_notify (include/net/netlink.h:1055 net/netfilter/nf_tables_api.c:8731) nft_quota_obj_eval (net/netfilter/nft_quota.c:68) nft_do_chain Freed by task 79: nf_tables_commit (include/linux/skbuff.h:1332 net/netfilter/nf_tables_api.c:10759 net/netfilter/nf_tables_api.c:11185) nfnetlink_rcv_batch (net/netfilter/nfnetlink.c:574) netlink_unicast netlink_sendmsg The buggy address belongs to the cache skbuff_head_cache of size 232 Queueing from the packet path is wrong even leaving the race aside: notify_list is only drained by nft_commit_notify() from nf_tables_commit() (:11185), so a notification enqueued outside a transaction is not sent until some later netlink batch commits, if one ever does. The gfp argument that nft_obj_notify() still takes is a leftover of the pre-67cc570edaa0 behaviour, where this path called nfnetlink_send() directly. Restore that: split the message construction out into nft_obj_notify_alloc() and let each caller decide what to do with the skb. nft_obj_notify(), the exported one reached from the packet path, sends it straight away; nf_tables_obj_notify(), which runs under commit_mutex, keeps queueing it, so transaction notifications are still coalesced.
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80837.json">CVE-2026-80837</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/68de7f3a38acab355c24114f77bf00d3094ce4da
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/6fa88d11983c6fe693c13ed7c5b3b75ae9f39de6
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/7904b94768e983bcb2be34a8d6d1f3450f5b838b
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/df86c0e84025be8b6dd572a20852698927aa666b
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/e97e2d6d0b150fd78be573f9fdf193f204d9334e

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67