Linux Kernel: Speicherzugriff außerhalb des zugewiesenen Speichers (Out-of-bounds) (CVE-2026-80840)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde folgende Schwachstelle behoben: ipv6: seg6: Löschen des IPv4-Steuerungsblocks bei IPIP-Dekapsulation End.DX4 und End.DT4 dekapsulieren ein IPv4-Paket über decap_and_validate() und leiten es direkt an die IPv4-Routing weiter. Das innere Paket umgeht daher ip_rcv_core(), das normalerweise IPCB vor der Interpretation durch IPv4 löscht.

Aktualisieren Sie Linux Kernel auf Version 5.10.269, Linux Kernel auf Version 5.15.220, Linux Kernel auf Version 6.1.187.

Betroffen

• Linux Kernel lt 4.14..5.10.269
• Linux Kernel lt 5.11..5.15.220
• Linux Kernel lt 5.16..6.1.187
• Linux Kernel lt 6.2..6.6.156
• Linux Kernel lt 6.7..6.12.108
• Linux Kernel lt 6.13..6.18.49
• Linux Kernel lt 6.19..7.1.13
• Linux Kernel lt 7.2..7.2.3

Behoben in

• Linux Kernel 5.10.269
• Linux Kernel 5.15.220
• Linux Kernel 6.1.187
• Linux Kernel 6.6.156
• Linux Kernel 6.12.108
• Linux Kernel 6.18.49
• Linux Kernel 7.1.13
• Linux Kernel 7.2.3
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Hohe technische Schwere: Bewerten und beheben Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 und dokumentieren Sie die Entscheidung.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde folgende Schwachstelle behoben: ipv6: seg6: Löschen des IPv4-Steuerungsblocks bei IPIP-Dekapsulation End.DX4 und End.DT4 dekapsulieren ein IPv4-Paket über decap_and_validate() und leiten es direkt an die IPv4-Routing weiter. Das innere Paket umgeht daher ip_rcv_core(), das normalerweise IPCB vor der Interpretation durch IPv4 löscht. Das skb behält stattdessen IP6CB-Daten des äußeren Pakets bei. IP6CB und IPCB verwenden denselben Speicherort skb->cb, sodass IP6CB(skb)->lastopt mit IPCB(skb)->opt.optlen und srr sowie IP6CB(skb)->nhoff mit rr und ts überlappt. Der Absender kann den veralteten optlen-Byte-Wert auf einen nichtnullen Wert setzen, indem er eine gültige Kette von äußeren Erweiterungsheader verwendet. Die Reproduktoren platzieren einen acht Byte langen Destination Options Header unmittelbar nach dem 40 Byte langen IPv6 Header und vor dem Segment Routing Header. ipv6_destopt_rcv() zeichnet den vom Absender kontrollierten Offset des Destination Options in beiden lastopt und nhoff auf, indem sie diese auf 40 setzen. Im reproduzierten little-endian x86-64 Kernel sieht daher IPv4 optlen = 40 und rr = 40. Sowohl tcp_v4_save_options() als auch __ip_options_echo() überspringen die Kopie von Optionen, wenn optlen null ist. Hier ist optlen jedoch 40, sodass der TCP SYN Pfad Platz für 40 Bytes an Optionendaten reserviert und __ip_options_echo() aufruft. Der veraltete rr-Wert führt dazu, dass diese Funktion das Byte 41 des inneren Pakets als Länge des Record Route Options liest. Die Reproduktoren setzen dieses vom Absender kontrollierte Byte auf 255, sodass __ip_options_echo() 255 Bytes in den 40-Byte großen Optionendatenbereich kopiert. Separate End.DX4 und End.DT4 Reproduktoren im ungepatchten v7.2-rc5 Kernel produzierten beide: BUG: KASAN: slab-out-of-bounds in __ip_options_echo() Schreiben der Größe 255 Der relevante End.DX4 Aufrufpfad ist: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dx4_finish input_action_end_dx4 Der relevante End.DT4 Aufrufpfad ist: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dt4 tcp_v4_save_options() ist in den tcp_v4_route_req()-Pfad eingeblendet, sodass es nicht als separater Frame erscheint. Wenn decap_and_validate() das Protokoll IPPROTO_IPIP behandelt, speichern Sie die Eingangs-Schnittstelle aus IP6CB, löschen IPCB und stellen den gespeicherten Wert wieder her. Dies im gemeinsamen Dekapsulationspfad durchzuführen, deckt End.DX4, End.DT4 und End.DT46s IPv4 Arm ab. Verwenden Sie IP6CB(skb)->iif anstelle von skb->skb_iif. Diese Aktionen werden nach der l3mdev-Verarbeitung ausgeführt, die skb_iif durch den L3-Master ersetzen kann; das iif in IP6CB zeichnet immer noch die empfangende Schnittstelle auf, die bei IPv6-Eingang gesetzt wurde.

Quelle: suse_csaf, Ubuntu Security Notices, HKCERT (CC BY 3.0 HK) · HKCERT-Einstufung: mittel, Debian LTS Advisories, Debian Security Advisories, Microsoft Security Update Guide, ENISA EUVD, cvelistv5, NVD (NIST), CVE.org (MITRE), BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Debian Linux
• Debian Linux-6.12
• Linux Linux
• Red Hat Openshift
• Ubuntu Ubuntu Linux
• Ubuntu Linux-aws
• Ubuntu Linux-aws-5.15
• Ubuntu Linux-aws-6.8
• Ubuntu Linux-aws-7.0
• Ubuntu Linux-aws-fips
• Ubuntu Linux-azure
• Ubuntu Linux-azure-5.15

Quellen & Referenzen

• git.kernel.orgstable/c/10fd1a8f58ac619a9e251f2858e2e2c8fd6cd667euvd
• git.kernel.orgstable/c/eb0f422487228e140f3d609b032ac61aedcab8faeuvd
• git.kernel.orgstable/c/9039e4f3e1c0ffe2b575b655b3f58fdd10f7e40ceuvd
• git.kernel.orgstable/c/f52f1e75716d2ee49e013edf204ac92337c72fd8euvd
• git.kernel.orgstable/c/0e3f01fe2e704e76af4385b8a1742641885a191ceuvd
• git.kernel.orgstable/c/3e4476e58343fb8f2fffced9e22d935376b17aafeuvd
• git.kernel.orgstable/c/bf1c1151560d11036a144d917fa4c131831342d7euvd
• git.kernel.orgstable/c/f4be3b391265e24c7720fc867c50062b436acf33euvd
• git.kernel.orgstable/c/44930446dde45a7a90fe1446fa38eb0e2c561646euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 19.10.2026Eintrag geändertLinux

   1 Einzeländerung: Betroffene Versionen (Herausgeber)

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80840.json">CVE-2026-80840</a>

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

2. 04.09.2026Neu erfasstLinux

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://git.kernel.org/stable/c/0e3f01fe2e704e76af4385b8a1742641885a191c
   • https://git.kernel.org/stable/c/10fd1a8f58ac619a9e251f2858e2e2c8fd6cd667
   • https://git.kernel.org/stable/c/3e4476e58343fb8f2fffced9e22d935376b17aaf
   • https://git.kernel.org/stable/c/44930446dde45a7a90fe1446fa38eb0e2c561646

   und 5 weitere Referenzen

   11 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	In the Linux kernel, the following vulnerability has been resolved: ipv6: seg6: clear IPv4 control block on IPIP decapsulation End.DX4 and End.DT4 decapsulate an IPv4 packet through decap_and_validate() and send it directly to IPv4 routing. The inner packet therefore bypasses ip_rcv_core(), which normally clears IPCB before IPv4 interprets skb->cb. The skb instead retains IP6CB data from the outer packet. IP6CB and IPCB use the same skb->cb storage, so IP6CB(skb)->lastopt overlaps IPCB(skb)->opt.optlen and srr, while IP6CB(skb)->nhoff overlaps rr and ts. The sender can make the stale optlen byte nonzero with a valid outer extension-header chain. The reproducers put an eight-byte Destination Options header immediately after the 40-byte IPv6 header and before the Segment Routing Header. ipv6_destopt_rcv() records the sender-controlled Destination Options offset in both lastopt and nhoff, setting them to 40. On the reproduced little-endian x86-64 kernel, IPv4 therefore sees optlen = 40 and rr = 40. Both tcp_v4_save_options() and __ip_options_echo() skip option copying when optlen is zero. Here optlen is 40, so the TCP SYN path allocates room for 40 bytes of option data and calls __ip_options_echo(). The stale rr value makes that function read inner packet byte 41 as the Record Route option length. The reproducers set that sender-controlled byte to 255, so __ip_options_echo() copies 255 bytes into the 40-byte option-data area. Separate End.DX4 and End.DT4 reproducers on the unpatched v7.2-rc5 kernel both produced: BUG: KASAN: slab-out-of-bounds in __ip_options_echo() Write of size 255 The relevant End.DX4 call path is: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dx4_finish input_action_end_dx4 The relevant End.DT4 call path is: __ip_options_echo tcp_v4_route_req tcp_conn_request tcp_v4_conn_request tcp_rcv_state_process tcp_v4_do_rcv tcp_v4_rcv ip_protocol_deliver_rcu ip_local_deliver_finish ip_local_deliver input_action_end_dt4 tcp_v4_save_options() is inlined into the tcp_v4_route_req() path, so it does not appear as a separate frame. When decap_and_validate() handles IPPROTO_IPIP, save the ingress interface from IP6CB, clear IPCB, and restore the saved value. Doing this in the common decapsulation path covers End.DX4, End.DT4, and End.DT46's IPv4 arm. Use IP6CB(skb)->iif rather than skb->skb_iif. These actions run after l3mdev processing, which can replace skb_iif with the L3 master; IP6CB iif still records the receiving interface set at IPv6 ingress.
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80840.json">CVE-2026-80840</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/0e3f01fe2e704e76af4385b8a1742641885a191c
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/10fd1a8f58ac619a9e251f2858e2e2c8fd6cd667
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/3e4476e58343fb8f2fffced9e22d935376b17aaf
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/44930446dde45a7a90fe1446fa38eb0e2c561646
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/9039e4f3e1c0ffe2b575b655b3f58fdd10f7e40c
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/bf1c1151560d11036a144d917fa4c131831342d7
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/eb0f422487228e140f3d609b032ac61aedcab8fa
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/f4be3b391265e24c7720fc867c50062b436acf33
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/f52f1e75716d2ee49e013edf204ac92337c72fd8

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67