CVE-2026-53228: Kernel Linux, túnel SIT: ponteiro de cabeçalho obsoleto após offload GSO
A CVE-2026-53228 é uma falha crítica no caminho de túnel SIT do kernel Linux para IPv6 sobre IPv4, com pontuação 9.8 atribuída pelo CNA no CVSS 3.1. A função de transmissão continua usando um ponteiro para o cabeçalho IPv6 interno após um auxiliar que pode mover o início do pacote, o que pode levar a leituras de memória já liberada. Correções em versões estáveis do kernel são citadas no registro, e nenhuma exploração ativa confirmada aparece nas fontes consultadas.
Visão geral
A CVE-2026-53228 trata do driver SIT do kernel Linux, que encapsula IPv6 dentro de IPv4. Segundo a descrição do registro, a função de transmissão mantém um ponteiro para o cabeçalho IPv6 interno por meio de uma chamada que pode realocar o início do pacote, de modo que leituras posteriores podem usar um endereço obsoleto.
Impacto
O registro afirma que o ponteiro obsoleto pode ser usado para ler o limite de saltos (hop limit) interno e o campo DS, e que essa leitura pode atingir um início de skb já liberado. O CNA atribuiu pontuação base CVSS 3.1 de 9.8 (crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. Qualquer consequência além do que a descrição informa é desconhecida com os dados disponíveis.
Produtos e versões afetadas
O registro lista o produto Linux Linux Kernel com estas faixas:
- ≥ 3.18 e < 5.10.259
- ≥ 5.11 e < 5.15.210
- ≥ 5.16 e < 6.1.176
- ≥ 6.2 e < 6.6.143
- ≥ 6.7 e < 6.12.94
- ≥ 6.13 e < 6.18.36
- ≥ 6.19 e < 7.0.13
- versão 7.1-rc1, 7.1-rc2, 7.1-rc3, 7.1-rc4, 7.1-rc5, 7.1-rc6 e 7.1-rc7
O registro não descreve pacotes de distribuições nem backports. Versões fora das faixas listadas não são identificadas como afetadas no registro, mas isso não deve ser interpretado como estado seguro confirmado para todas as compilações de fornecedores.
Status de exploração
A entrada no catálogo KEV não está listada no registro. Não há exploração ativa confirmada nas fontes consultadas. A pontuação EPSS não está disponível no registro.
Correção e mitigação
- Atualize o kernel para uma versão estável que inclua a correção upstream da sua linha de versão. O registro vincula oito commits estáveis.
- Verifique se sua distribuição já publicou uma correção por backport, pois o registro não cobre pacotes de distribuições.
- Se o driver de túnel SIT não for necessário em um sistema, considere desabilitá-lo ou impedir seu carregamento, seguindo a orientação da sua distribuição.
- Reinicie após instalar a atualização do kernel para que o código corrigido esteja em execução.
Orientações de detecção
- Inventarie os hosts Linux e compare as versões do kernel com as faixas acima.
- Identifique sistemas em que o módulo sit está carregado ou em que há túneis IPv6 sobre IPv4 configurados.
- Revise os logs do kernel em hosts que usam esses túneis em busca de alertas relacionados à memória, lembrando que o registro não descreve assinaturas específicas de log.
Limitações das informações disponíveis
- O registro não traz título, CWE, dados SSVC nem pontuação EPSS.
- As fontes consultadas são as páginas do NVD e do CVE Program e os commits estáveis do kernel.org, não um aviso completo de fornecedor.
- O registro não fornece prova de conceito, detalhes de exploração nem o impacto em distribuições específicas.
Perguntas frequentes
A CVE-2026-53228 está sendo explorada ativamente?
O registro indica que ela não está listada no KEV da CISA, e não há exploração ativa confirmada nas fontes consultadas. Continue acompanhando as fontes oficiais.
O que os administradores devem fazer primeiro?
Identifique hosts Linux nas faixas afetadas e aplique uma atualização estável do kernel que inclua a correção upstream da sua linha de versão. Verifique se sua distribuição publicou uma correção por backport.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.