Linux Kernel: Use-After-Free (CVE-2026-80849)

Was ist betroffen, was ist zu tun

Im Linux-Kernel wurde die folgende Schwachstelle behoben: net/tcp-ao: Behebung des Use-After-Free von current_key bei erneuter Verbindung zu einem anderen Peer tcp_inbound_ao_hash() wird aufgerufen, bevor bh_lock_sock_nested() übernommen wird und nur rcu_read_lock() gehalten wird. Auf dem schnellen Pfad für etablierte Sockets, wenn der rnext_keyid vom Peer von current_key->sndid abweicht, wird die gesuchte Schlüssel des Peers gefunden und in current_key gespeichert.

Aktualisieren Sie Linux Kernel auf Version 6.12.108, Linux Kernel auf Version 6.18.49, Linux Kernel auf Version 7.1.13.

Betroffen

• Linux Kernel lt 6.7..6.12.108
• Linux Kernel lt 6.13..6.18.49
• Linux Kernel lt 6.19..7.1.13
• Linux Kernel lt 7.2..7.2.3

Behoben in

• Linux Kernel 6.12.108
• Linux Kernel 6.18.49
• Linux Kernel 7.1.13
• Linux Kernel 7.2.3
• Linux Kernel 7.3

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Im Linux-Kernel wurde die folgende Schwachstelle behoben: net/tcp-ao: Behebung des Use-After-Free von current_key bei erneuter Verbindung zu einem anderen Peer tcp_inbound_ao_hash() wird aufgerufen, bevor bh_lock_sock_nested() übernommen wird und nur rcu_read_lock() gehalten wird. Auf dem schnellen Pfad für etablierte Sockets, wenn der rnext_keyid vom Peer von current_key->sndid abweicht, wird die gesuchte Schlüssel des Peers gefunden und in current_key gespeichert. Die Suche erfolgt innerhalb des RCU-Lesebereichs, aber current_key überlebt diesen. Wenn die Socket getrennt ist und connect() erneut für einen anderen Peer aufgerufen wird, entfernt tcp_ao_connect_init() jeden Schlüssel, der nicht mit dem neuen Peer übereinstimmt, und gibt ihn mit call_rcu() frei. Wenn current_key auf einen solchen Schlüssel zeigt, wird es auf NULL gesetzt. Der schnelle Pfad liest sk_state nur einmal beim Eintreten, sodass ein Softirq, der während des etablierten Zustands der Socket in den Pfad gelangt, current_key nachdem die Schleife bereits gelaufen ist aktualisieren kann. Die Aktualisierung erfolgt innerhalb des RCU-Lesebereichs, so dass sie vor dem call_rcu()-Callback kommt und sobald das Callback den Schlüssel freigibt, zeigt current_key auf freigegebene Speicher. Die nächste Übertragung nimmt diesen Zeiger in tcp_get_current_key() auf. tcp_ao_transmit_skb() liest dann den Verkehrs-Schlüssel aus dem freigegebenen Objekt, was das Use-After-Free ist. Warten Sie eine Grace-Periode, bevor ein Schlüssel entfernt wird und nur wenn ein Schlüssel tatsächlich entfernt werden soll. Wenn tcp_connect() ausgeführt wird, befindet sich die Socket bereits in TCP_SYN_SENT, und TCP_AO_ESTABLISHED enthält nicht TCPF_SYN_SENT, sodass ein Softirq nach dem Warten den schnellen Pfad nicht erreichen kann und diejenigen, die bereits darin sind, fertig sind. Die bestehende NULL-Handhabung in der Schleife ist dann ausreichend.

Quelle: HKCERT (CC BY 3.0 HK) · HKCERT-Einstufung: mittel, Ubuntu Security Notices, Debian LTS Advisories, Debian Security Advisories, BSI WID Portal, BSI CSAF, cvelistv5, ENISA EUVD, NVD (NIST), CVE.org (MITRE)

Hersteller und Produkte

• Debian Linux
• Debian Linux-6.12
• Linux Linux
• Red Hat Openshift
• Ubuntu Ubuntu Linux
• Ubuntu Linux-aws
• Ubuntu Linux-aws-6.8
• Ubuntu Linux-aws-7.0
• Ubuntu Linux-aws-fips
• Ubuntu Linux-azure
• Ubuntu Linux-azure-6.8
• Ubuntu Linux-azure-fde

Quellen & Referenzen

• git.kernel.orgstable/c/84a93b4e012587d0a4a84ffb23ec6da18e9d85f9euvd
• git.kernel.orgstable/c/73fde8fe4469f4ed8f0afcc0b9d6413002a9e6b3euvd
• git.kernel.orgstable/c/e54ad693eddb40c595add013f545354c538e325beuvd
• git.kernel.orgstable/c/2857dcbd03cf3354af0fba1b65c6a260fb43811aeuvd
• git.kernel.orgstable/c/da4471557f279d0f56605158a625bb6e49ef7d41euvd

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 19.10.2026Eintrag geändertLinux

   1 Einzeländerung: Betroffene Versionen (Herausgeber)

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	Affected value modified. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80849.json">CVE-2026-80849</a>

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67

2. 04.09.2026Neu erfasstLinux

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://git.kernel.org/stable/c/2857dcbd03cf3354af0fba1b65c6a260fb43811a
   • https://git.kernel.org/stable/c/73fde8fe4469f4ed8f0afcc0b9d6413002a9e6b3
   • https://git.kernel.org/stable/c/84a93b4e012587d0a4a84ffb23ec6da18e9d85f9
   • https://git.kernel.org/stable/c/da4471557f279d0f56605158a625bb6e49ef7d41

   und 1 weitere Referenz

   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Beschreibung	ergänzt	—	In the Linux kernel, the following vulnerability has been resolved: net/tcp-ao: fix use-after-free of current_key on reconnect to another peer tcp_inbound_ao_hash() is called before bh_lock_sock_nested() is taken, with only rcu_read_lock() held. On the fast path for established sockets, if the rnext_keyid sent by the peer differs from current_key->sndid, the key the peer asked for is looked up and stored in current_key. The lookup is inside the RCU read side, but current_key outlives it. When the socket is disconnected and connect() is called again for another peer, tcp_ao_connect_init() unlinks every key that does not match the new peer and frees it with call_rcu(). If current_key points at such a key, it is cleared to NULL. The fast path reads sk_state only once on entry, so a softirq that got into it while the socket was still established can update current_key after that loop has already run. The update is inside the RCU read side, so it comes before the call_rcu() callback, and once the callback frees the key, current_key is left pointing at freed memory. The next transmission picks that pointer up in tcp_get_current_key(). tcp_ao_transmit_skb() then reads the traffic key from the freed object, which is the use-after-free. Wait for one grace period before unlinking, and only if a key is going to be removed. By the time tcp_connect() runs the socket is already in TCP_SYN_SENT, and TCP_AO_ESTABLISHED does not contain TCPF_SYN_SENT, so a softirq entering after the wait cannot reach the fast path, and the ones already in it have finished. The existing NULL handling in the loop is then enough.
   Betroffene Versionen (Herausgeber)	ergänzt	—	New affected value received. <a href="https://github.com/CVEProject/cvelistV5/blob/main/cves/2026/80xxx/CVE-2026-80849.json">CVE-2026-80849</a>
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/2857dcbd03cf3354af0fba1b65c6a260fb43811a
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/73fde8fe4469f4ed8f0afcc0b9d6413002a9e6b3
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/84a93b4e012587d0a4a84ffb23ec6da18e9d85f9
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/da4471557f279d0f56605158a625bb6e49ef7d41
   Referenz	ergänzt	—	https://git.kernel.org/stable/c/e54ad693eddb40c595add013f545354c538e325b

   Kennung der Quelle: 416baaa9-dc9f-4396-8d5f-8c081fb06d67