CVE-2026-72057

CVE CVE-2026-72057EUVD EUVD-2026-59015Veröffentlicht 2026-08-15T05:52:12.000ZZuletzt geändert 2026-08-17T05:39:53.000ZCVSS 8.2

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: net/sched: act_ct: preserve tc_skb_cb across defragmentation tcf_ct_handle_fragments() calls nf_ct_handle_fragments() without saving and restoring skb->cb. The defrag helper clears IPCB/IP6CB, which aliases the tc_skb_cb/qdisc_skb_cb control buffer. Fragmented traffic through act_ct therefore loses qdisc metadata such as pkt_segs and can trigger WARN_ON_ONCE() in qdisc_pkt_segs() when panic_on_warn is enabled. Save and restore the full tc_skb_cb around nf_ct_handle_fragments(), matching the pattern used by ovs_ct_handle_fragments().

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

Linux — Linux ec624fe740b416fb68d536b37fb8eef46f90b5c2 <5c3ae5f6c7c6de73ea9b6a75154fe4ed343e1bac; patch: 6.18.40; patch: 7.1.5; patch: 0; ec624fe740b416fb68d536b37fb8eef46f90b5c2 <9092e15defbe6c7bc241c306093ca9d358a578e7; patch: 6.6.145; ec624fe740b416fb68d536b37fb8eef46f90b5c2 <f7f45ceb855d9ba1cba594fb3f383255f7013fad; 5.16; ec624fe740b416fb68d536b37fb8eef46f90b5c2 <2400c4b05d58834b994500a9eec90a37db44187c; 0d76daf2013ce1da20eab5e26bd81d983e1c18fb; 5.15.13 <5.16; patch: 6.12.97; ec624fe740b416fb68d536b37fb8eef46f90b5c2 <b3d835407846134b0d54637c0281b39bebef831d; patch: 7.2

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

Linux — Linux

Betrifft das einen Ihrer Kundenbestände?

Diese Seite kann die Frage nicht beantworten — sie kennt Ihren Bestand nicht. Wer seine Umgebungen erfasst hat, bekommt die Antwort am Morgen nach der Veröffentlichung, zusammen mit einem Absatz, den er unverändert an den Kunden weitergeben kann.

28 Tage testen

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.