CVE-2026-53362
Linux Kernel Unspecified Vulnerability
Beschreibung
CVE-2026-53362 ist eine schwerwiegende Out-of-bounds-Write-Schwachstelle im IPv6-Netzwerkstack des Linux-Kernels, konkret in __ip6_append_data(). Wird der Paged-Allocation-Zweig genommen, berücksichtigen alloclen und pagedlen die aus dem vorherigen Socket Buffer übernommenen fraggap-Bytes nicht: Der lineare Bereich ist um genau diesen Betrag zu klein, während pagedlen um denselben Betrag zu groß angegeben wird, und der Kopiervorgang schreibt über skb->end hinaus in die nachfolgende skb_shared_info. Ein unprivilegierter lokaler Benutzer kann diese Heap-Korruption über einen UDPv6-Socket mit MSG_MORE in Kombination mit MSG_SPLICE_PAGES auslösen — ein praxistaugliches Primitiv zur lokalen Rechteausweitung. Die Linux-Kernel-Schwachstelle betrifft zahlreiche Stable-Branches und hat einen CVSS-Wert von 7.8; die CISA hat CVE-2026-53362 in den Katalog bekannter ausgenutzter Schwachstellen (KEV) aufgenommen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenCWEs
Betroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | >= 6.0, < 6.1.177; >= 6.2, < 6.6.144; >= 6.7, < 6.12.95; >= 6.13, < 6.18.38; >= 6.19, < 7.1.3 |
Referenzen
- https://git.kernel.org/stable/c/14200d435af9a9eeb444f529fc2f689a236b7962(Patch)
- https://git.kernel.org/stable/c/46f201f8b4c39633a1fa3dc12459f506d470993d(Patch)
- https://git.kernel.org/stable/c/6374fb9edf72c67a118a2c214a0dddd04c921e0a(Patch)
- https://git.kernel.org/stable/c/65fb14cbebb0cd0eff903a22d33537ddc8b95769(Patch)
- https://git.kernel.org/stable/c/736b380e28d0480c7bc3e022f1950f31fe53a7c5(Patch)
- https://git.kernel.org/stable/c/e9eacf19281ea2498b36291b56c9606118c2d74e(Patch)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-53362(US Government Resource)
Schwachstellentyp
CWE-787: Out-of-bounds Write
Ein Out-of-bounds Write tritt auf, wenn Software Daten außerhalb der vorgesehenen Puffergrenzen schreibt — durch einen Buffer Overflow, einen falschen Index, Fehler in der Zeigerarithmetik oder Integer-Überläufe in Größenberechnungen. Bei CVE-2026-53362 ist die Größenberechnung selbst falsch: datalen enthält fraggap bereits, doch der Paged-Zweig berechnet alloclen = fragheaderlen + transhdrlen ohne diesen Anteil, sodass das anschließende Kopieren der übernommenen Fragmentbytes über das Ende der Allokation hinausschreibt.
Mehr erfahren: CWE-787 — Out-of-bounds Write
CWE-122: Heap-basierter Buffer Overflow
Ein Heap-basierter Buffer Overflow ist ein Überlauf in dynamisch allokiertem Speicher, der benachbarte Heap-Objekte und Metadaten beschädigt. Hier ist der überlaufende Puffer ein Kernel-Socket-Buffer, und die Daten laufen direkt in die nachfolgende skb_shared_info-Struktur — eine Kontrollstruktur, der der Kernel selbst vertraut, was diese Korruption für Angreifer besonders attraktiv macht.
Mehr erfahren: CWE-122 — Heap-basierter Buffer Overflow
Auswirkungsanalyse
CVE-2026-53362 erfordert lokalen Zugriff und niedrige Privilegien — wobei die Betonung auf „niedrig" liegt: Die Kernel-Commit-Nachricht hält ausdrücklich fest, dass ein unprivilegierter Benutzer den Fehler über einen gewöhnlichen UDPv6-Socket auslösen kann, es braucht also keine Capabilities, kein Root und keine besondere Konfiguration, sondern nur die Möglichkeit, Code auf dem Rechner auszuführen. Die Angriffskomplexität ist gering, Benutzerinteraktion ist nicht erforderlich, und die Auswirkung ist hoch für Vertraulichkeit, Integrität und Verfügbarkeit, denn die Korruption von skb_shared_info im Kernel-Heap ist ein gut verstandener Weg zu beliebigem Kernel-Schreibzugriff und damit zur vollständigen Root-Kompromittierung — mindestens aber zu einer Kernel-Panic. Auf geteilten Systemen — Container-Hosts, Terminalserver, mandantenfähige Infrastruktur, CI-Runner — ist genau das jenes Primitiv, das ein Angreifer zum Ausbruch aus einem gering privilegierten Kontext benötigt. Der CVSS-3.1-Basiswert liegt bei 7.8 (hoch); der EPSS-Wert von rund 0,5 % (42. Perzentil) ist bei einem lokalen Kernel-Fehler erwartbar niedrig, da EPSS internetseitiges Scanning modelliert — die KEV-Listung der CISA belegt die reale Ausnutzung.
Exploit-Reifegrad
Die CISA hat die aktive Ausnutzung von CVE-2026-53362 durch die Aufnahme in den Katalog bekannter ausgenutzter Schwachstellen mit bereits verstrichener Behebungsfrist zum 30. August 2026 bestätigt — dieser Kernel-Fehler wird also in realen Einbrüchen genutzt. Unter den Referenzen ist kein fertiges Exploit aufgeführt, doch die sechs öffentlichen Patch-Commits im Stable-Tree sind selbst eine erhebliche Anleitung: Die Commit-Nachricht benennt den exakten Auslöser — einen UDPv6-Socket mit MSG_MORE und MSG_SPLICE_PAGES — identifiziert die fehlerhafte Arithmetik Zeile für Zeile und erklärt, warum ein unprivilegierter Benutzer sie erreicht. Für erfahrene Kernel-Exploit-Entwickler ist das faktisch ein Vorsprung. Der EPSS-Wert von etwa 0,5 % (42. Perzentil) sollte niemanden beruhigen, da EPSS internetseitige Scan-Aktivität abbildet, die für eine lokale Rechteausweitung ohne Bedeutung ist. Da Linux-Kernel-LPEs feste Bestandteile von Post-Exploitation-Werkzeugkästen sind, gelten ungepatchte Mehrbenutzersysteme als exponiert.
Behebung
- Die von der CISA geforderte Maßnahme umsetzen. Mitigationen gemäß den Anweisungen Ihrer Distribution anwenden, die BOD-26-04-Vorgaben der CISA („Prioritizing Security Updates Based on Risk") sowie die „Forensics Triage Requirements" einhalten und betroffene Systeme außer Betrieb nehmen, falls keine Mitigationen verfügbar sind. Die KEV-Frist zum 30. August 2026 ist verstrichen.
- Den Kernel auf ein korrigiertes Stable-Release aktualisieren. Betroffen sind die Bereiche 6.0 bis 6.1.177, 6.2 bis 6.6.144, 6.7 bis 6.12.95, 6.13 bis 6.18.38 und 6.19 bis 7.1.3; installieren Sie das Kernel-Update Ihrer Distribution mit dem Upstream-Fix und starten Sie neu, denn Kernel-Patches wirken erst mit dem laufenden neuen Image.
- Mandantenfähige Systeme und Container-Hosts priorisieren. Jedes System, auf dem unvertrauenswürdiger oder halbvertrauenswürdiger Code als lokaler Benutzer läuft — Kubernetes-Nodes, geteilte Build-Infrastruktur, VDI- und Terminalserver, Hosting-Plattformen — ist für einen Unprivileged-to-Root-Kernel-Fehler das wertvollste Ziel und sollte zuerst in den gepatchten Kernel neu gestartet werden.
- Die Erreichbarkeit des verwundbaren Pfads verringern, wo der Patch warten muss. Der Auslöser erfordert einen UDPv6-Socket mit
MSG_MOREundMSG_SPLICE_PAGES; wo IPv6 tatsächlich ungenutzt ist, entfällt der Pfad durch dessen Deaktivierung vollständig, und das Einschränken unprivilegierter User Namespaces sowie seccomp-Profile, die Socket-Syscalls begrenzen, verkleinern die Angriffsfläche für unvertrauenswürdige Workloads. Das sind Übergangsmaßnahmen, keine Behebung. - Auf Ausnutzung überwachen und langfristig härten. Auf unerklärte Kernel-Oopses, Panics und
skb-bezogene Warnungen alarmieren, die einem erfolgreichen Heap-Korruptions-Exploit typischerweise vorausgehen, und per EDR-Telemetrie Prozesse markieren, die aus unprivilegierten Elternprozessen Root erlangen; anschließend einen kurzen Kernel-Patch-Rhythmus mit Live Patching oder geplanten Reboot-Fenstern etablieren, da Speicherfehler im Netzwerkstack regelmäßig auftreten und fast immer LPE-Qualität haben.
Technische Details
CVE-2026-53362 ist ein Out-of-bounds Write (CWE-787), der sich als Heap-basierter Buffer Overflow (CWE-122) in __ip6_append_data() im IPv6-Stack des Linux-Kernels äußert. Wird der Paged-Allocation-Zweig genommen — bei MSG_MORE, NETIF_F_SG oder großem fraglen — berechnet der Code alloclen = fragheaderlen + transhdrlen und pagedlen = datalen - transhdrlen. Da datalen = length + fraggap gilt, bedeutet ein fraggap ungleich null, dass dies nicht das erste skb ist und transhdrlen null beträgt; dennoch werden die aus dem vorherigen skb übernommenen fraggap-Bytes direkt hinter den Fragment-Headern in den linearen Bereich des neuen skb kopiert. Der lineare Bereich ist damit um fraggap Bytes zu klein, während pagedlen um denselben Betrag zu groß ist, und der Kopiervorgang schreibt über skb->end hinaus in die nachfolgende skb_shared_info. Die fehlerhafte Berechnung wurde mit Commit 773ba4fe9104 („ipv6: avoid partial copy for zc") eingeführt; vor Commit ce650a166335 („udp6: Fix __ip6_append_data()'s handling of MSG_SPLICE_PAGES") führte der resultierende negative Kopierwert zu -EINVAL, und erst dieser spätere Commit ließ MSG_SPLICE_PAGES passieren und machte die Korruption auslösbar. Der Fix gleicht den Paged-Zweig an den Non-Paged-Zweig an, indem fraggap zu alloclen addiert und von pagedlen subtrahiert wird. Der CVSS-Vektor CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H hält einen lokalen, wenig komplexen Angriff mit niedrigen Privilegien, ohne Benutzerinteraktion und mit vollständiger Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit fest.
Häufig gestellte Fragen
Wird CVE-2026-53362 aktiv ausgenutzt?
Ja. Die CISA hat CVE-2026-53362 mit einer Behebungsfrist bis zum 30. August 2026 in ihren Katalog bekannter ausgenutzter Schwachstellen aufgenommen und damit Ausnutzung in freier Wildbahn bestätigt. Der niedrige EPSS-Wert ist für eine lokale Kernel-Schwachstelle normal und bedeutet kein geringes Risiko, da solche Fehler eingesetzt werden, nachdem ein Angreifer bereits Codeausführung auf dem Host besitzt.
Welche Produkte sind von CVE-2026-53362 betroffen?
Betroffen ist der Linux-Kernel in den Versionen 6.0 bis 6.1.177, 6.2 bis 6.6.144, 6.7 bis 6.12.95, 6.13 bis 6.18.38 und 6.19 bis 7.1.3. Der verwundbare Code liegt in der Funktion __ip6_append_data() des IPv6-Stacks und ist über einen UDPv6-Socket mit MSG_MORE und MSG_SPLICE_PAGES erreichbar.
Wie behebe ich CVE-2026-53362?
Installieren Sie das Kernel-Update Ihrer Distribution mit dem Upstream-Fix — der fraggap zu alloclen addiert und von pagedlen subtrahiert — und starten Sie in den gepatchten Kernel neu. Priorisieren Sie Container-Hosts, Build-Infrastruktur und andere mandantenfähige Systeme, auf denen unvertrauenswürdiger lokaler Code läuft; das Deaktivieren von IPv6 entfernt den Auslöserpfad dort, wo es wirklich ungenutzt ist, taugt aber nur als Übergangsmaßnahme.
Wie schwerwiegend ist CVE-2026-53362?
CVE-2026-53362 ist als hoch mit einem CVSS-3.1-Basiswert von 7.8 eingestuft. Sie erfordert lokalen Zugriff, aber nur unprivilegierte Benutzerrechte, benötigt keine Benutzerinteraktion und korrumpiert Kernel-Heap-Speicher — konkret die skb_shared_info-Struktur — mit hoher Auswirkung auf Vertraulichkeit, Integrität und Verfügbarkeit; die vollständige Root-Kompromittierung ist damit das realistische Ergebnis auf einem betroffenen System.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.