CVE-2026-53221: Falha de correspondência de túnel no ip6_vti do kernel Linux
O CVE-2026-53221 é uma falha no driver ip6_vti do kernel Linux, em que a busca de fallback em vti6_tnl_lookup() não confirma se um túnel candidato realmente usa endereço curinga. O CNA classifica como crítica, com pontuação base CVSS 3.1 de 9.8, e o registro lista commits de correção nas branches estáveis. Não há exploração confirmada nas fontes consultadas, e a CVE não consta no catálogo KEV da CISA.
Visão geral
O CVE-2026-53221 diz respeito ao driver ip6_vti do kernel Linux. Quando uma correspondência exata de túnel falha em vti6_tnl_lookup(), o código procura túneis curinga, mas os laços de fallback não verificavam se o túnel candidato realmente tem endereço curinga. Como túneis de tipos diferentes compartilham a mesma tabela hash, colisões podem fazer um túnel de outro tipo ser considerado correspondente.
Impacto
- O CNA atribui pontuação base CVSS 3.1 de 9.8 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica alcance pela rede, sem privilégios nem interação do usuário, e alto impacto em confidencialidade, integridade e disponibilidade.
- O registro não descreve as consequências concretas da falha de correspondência. O impacto prático depende de o sistema usar túneis ip6_vti.
Produtos e versões afetadas
O registro lista o produto Linux Linux Kernel com estes intervalos:
- 3.19 até, mas sem incluir, 5.10.259
- 5.11 até, mas sem incluir, 5.15.210
- 5.16 até, mas sem incluir, 6.1.176
- 6.2 até, mas sem incluir, 6.6.143
- 6.7 até, mas sem incluir, 6.12.94
- 6.13 até, mas sem incluir, 6.18.36
- 6.19 até, mas sem incluir, 7.0.13
- 7.1-rc1 a 7.1-rc7
O registro não informa uma versão corrigida para a linha de desenvolvimento 7.1.
Status de exploração
A CVE não consta no catálogo KEV da CISA no registro. Não há exploração confirmada nas fontes consultadas. Isso não significa que a exploração não ocorra.
Correção e mitigação
- Identifique sistemas que executam as faixas de kernel afetadas, incluindo kernels de distribuições que incorporam correções estáveis.
- Aplique a atualização do kernel do fornecedor ou da distribuição que inclua a correção upstream. Os commits upstream estão listados na entrada da NVD.
- Onde túneis ip6_vti não forem necessários, considere removê-los ou desativá-los conforme seu processo de controle de mudanças.
Orientações de detecção
- Faça inventário das versões de kernel e verifique se o módulo ip6_vti ou interfaces VTI6 estão em uso.
- Revise configurações de túnel em busca de definições inesperadas de endpoints locais ou remotos que possam interagir com a correspondência curinga.
- Monitore tráfego inesperado roteado por interfaces VTI6. Esta é uma abordagem de alto nível e não substitui a orientação do fornecedor.
Limitações das informações disponíveis
- O registro não atribui CWE.
- Dados de EPSS e SSVC não estão disponíveis.
- O registro não descreve prova de conceito nem incidentes reais.
- A versão corrigida para a linha 7.1 não é informada.
- Versões corrigidas específicas de distribuições não constam no registro.
Perguntas frequentes
Qual é a causa raiz do CVE-2026-53221?
A busca de fallback em vti6_tnl_lookup() não verificava se um túnel candidato realmente tinha endereço curinga, e tipos diferentes de túnel compartilham uma tabela hash em que colisões podem ocorrer.
O CVE-2026-53221 é explorado atualmente?
O registro não o lista no KEV da CISA, e não há exploração confirmada nas fontes consultadas. Isso não descarta a exploração.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.