CVE-2026-53131: Kernel Linux netfilter: Falta de Validação do Cabeçalho MAC Ethernet Antes do Acesso via eth_hdr()
Uma falha no netfilter do kernel Linux permite que vários módulos, incluindo xt_mac, ip6t_eui64, os tipos de ipset baseados em MAC e nf_log_syslog, leiam o cabeçalho Ethernet sem antes confirmar que o pacote pertence a um dispositivo Ethernet e possui cabeçalho MAC válido. O registro atribui pontuação CVSS 3.1 de 9,4 (crítica) pelo CNA e lista sete patches em árvores estáveis. Nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O registro descreve um problema no netfilter do kernel Linux. Vários módulos leem o cabeçalho Ethernet por meio de eth_hdr(skb) sem antes confirmar que o pacote está vinculado a um dispositivo Ethernet e que seu cabeçalho MAC está definido e possui tamanho suficiente. A correção acrescenta essas verificações antes do acesso. A descrição original está disponível na entrada da NVD.
Impacto
- O CNA atribui pontuação base CVSS 3.1 de 9,4 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H, que indica alcance pela rede, ausência de privilégios e ausência de interação do usuário.
- O registro não descreve a consequência concreta da verificação ausente.
- Inferência: a leitura de dados de cabeçalho além do buffer válido pode levar a erros de memória, como travamentos ou exposição de informações. As fontes não confirmam qual desfecho é possível.
Produtos e versões afetadas
- Produto no registro: Linux Linux Kernel.
- Intervalos afetados no registro: a partir de 2.6.12.1 antes de 5.15.210; a partir de 5.16 antes de 6.1.176; a partir de 6.2 antes de 6.6.143; a partir de 6.7 antes de 6.12.94; a partir de 6.13 antes de 6.18.36; a partir de 6.19 antes de 7.0.13.
- O registro também lista 2.6.12 e os candidatos a lançamento 2.6.12-rc2, 2.6.12-rc3, 2.6.12-rc4 e 2.6.12-rc5.
- Inferência: os limites superiores listados (por exemplo, 5.15.210 e 7.0.13) parecem ser as primeiras versões fora de cada intervalo. O registro não afirma isso explicitamente, então confirme com os avisos da sua distribuição.
Status de exploração
- O catálogo KEV da CISA não lista este CVE no registro.
- Nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
- Dados EPSS não estão disponíveis no registro.
Correção e mitigação
- O registro vincula sete commits em árvores estáveis que implementam a correção. Aplique a atualização do kernel fornecida pela sua distribuição ou pelo ramo estável compatível com a sua versão, como no commit estável 063f43361e884acd7300790e90194430275d0d0c.
- Inferência: quando a aplicação da correção for adiada e os módulos de netfilter ou tipos de ipset afetados não forem necessários, reduzir a exposição deles pode diminuir o risco. Confirme o impacto com os administradores antes de qualquer alteração.
- Priorize sistemas que roteiam ou filtram tráfego, pois são os locais típicos onde as regras de netfilter são aplicadas.
Orientações de detecção
- Faça o inventário das versões do kernel e compare com os intervalos listados acima.
- Verifique se os módulos afetados estão carregados ou usados por regras de firewall, por exemplo pela configuração de ipset ou xtables.
- Monitore os logs do kernel em busca de travamentos ou avisos inesperados nos componentes de netfilter. O registro não fornece indicadores específicos.
Limitações das informações disponíveis
- O registro não tem classificação CWE, dados do KEV, pontuação EPSS nem dados SSVC.
- O registro não descreve prova de conceito, condições de disparo em detalhe nem os efeitos observáveis exatos.
- A severidade é a pontuação do CNA; o registro não traz pontuação independente.
Perguntas frequentes
Qual é o problema central do CVE-2026-53131?
Vários componentes do netfilter leem o cabeçalho Ethernet sem antes confirmar que o pacote está vinculado a um dispositivo Ethernet e que seu cabeçalho MAC é válido e tem tamanho suficiente. Os patches acrescentam essas verificações.
Há exploração conhecida dessa vulnerabilidade?
O catálogo KEV da CISA não a lista neste registro, e nenhuma exploração confirmada na natureza aparece nas fontes consultadas.
Como os administradores devem agir?
Aplique a atualização do kernel da sua distribuição ou do ramo estável correspondente e compare a versão do seu kernel com os intervalos afetados listados no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.