Security · Linux-Kernel / Netfilter
Netfilter prüfte den Paketkopf zu spät
relevant
Fehlende Prüfungen eines Ethernet-Headers können auf betroffenen Ubuntu-Kerneln zu Abstürzen oder zur Preisgabe von Kernel-Speicher führen; der Angriffsvektor ist widersprüchlich bewertet.
- CVE
- CVE-2026-53131
- Betroffen
- Unter anderem Ubuntu 22.04 vor 5.15.0-191.201 und Ubuntu 20.04 HWE 5.15 vor 5.15.0-191.201~20.04.1; Ubuntu 24.04 generic laut CVE-Status noch in Bearbeitung.
- Behoben
- Ubuntu 26.04 generic: 7.0.0-29.29; Ubuntu 22.04 generic: 5.15.0-191.201; Ubuntu 20.04 HWE 5.15: 5.15.0-191.201~20.04.1; weitere Kernel-Varianten gemäß Ubuntu-Matrix.
Netfilter ist das Paketfilter- und Firewall-System des Linux-Kernels. Einige seiner Module griffen auf Ethernet-Header – Steuerdaten am Anfang eines Ethernet-Netzwerkrahmens – zu, ohne zuvor ausreichend zu prüfen, ob ein solcher Paketkopf überhaupt vorhanden und vollständig ist.
Ubuntu zeigt zwei widersprüchliche Bewertungen: CVSS 4.0 nennt einen lokalen Angreifer mit niedrigen Rechten, CVSS 3.1 dagegen einen Netzwerkangriff ohne Konto. Deshalb wird die Lücke hier nicht als bestätigt remote ausnutzbar markiert. Das belastbare Szenario ist enger: Ein lokaler Nutzer oder bereits kompromittierter Dienst bringt ein präpariertes Paket durch eine tatsächlich betroffene Firewallregel. Nicht jeder erreichbare Linux-Server ist allein deshalb angreifbar. Mögliche Folgen sind Abstürze oder die Preisgabe von Kernel-Speicher.
Administratoren sollten den für ihre Ubuntu-Version und ihre Kernel-Variante vorgesehenen Kernel installieren und anschließend neu starten. Fremde Kernelmodule müssen wegen der geänderten Kernel-Schnittstelle (ABI) gegebenenfalls neu gebaut und installiert werden. Eine bestätigte aktive Ausnutzung ist mit Quellenstand 8. September 2026 nicht bekannt.
Paketstände und beide Bewertungsvektoren: Ubuntu CVE-2026-53131. Technische Gegenprüfung: Upstream-Kernelkorrektur.