CVE-2026-74480

CVE CVE-2026-74480EUVD EUVD-2026-59673Veröffentlicht 2026-08-15T12:27:13.000ZZuletzt geändert 2026-08-19T16:37:33.000ZCVSS 9.8

Was das Advisory beschreibt

In the Linux kernel, the following vulnerability has been resolved: net: bridge: stop fast-leave after deleting a port group br_multicast_leave_group() iterates mp->ports with pp = &p->next in its fast-leave path. After br_multicast_del_pg() removes p, continuing the loop advances pp through the deleted entry. If multicast-to-unicast was enabled, the bridge can hold multiple port groups for the same port and group with different source MAC addresses. Once multicast-to-unicast is disabled, br_port_group_equal() matches those entries by port only. A fast leave can then delete one entry and continue from its stale next pointer, leaving mp->ports pointing at a deleted port group. Fast leave only needs to remove one matching port group. Break after br_multicast_del_pg() so the loop stops before dereferencing the removed entry.

Quelle: EUVD (ENISA), im Wortlaut der Meldung.

Produkte, die das Advisory nennt

Diese Angaben stammen aus der Meldung selbst, nicht aus einer Prüfung durch uns.

Linux — Linux patch: 5.15.216; patch: 5.10.265; 6db6f0eae6052b70885562e1733896647ec1d807 <0309ebbc570000ea0df11c06b69798e5860c5f6f; 4.11; 6db6f0eae6052b70885562e1733896647ec1d807 <d6c32e2e25a9a06ba021030e26b6d602a277eb72; patch: 6.1.183; 6db6f0eae6052b70885562e1733896647ec1d807 <1a109cc9890d017c41d77e6c82da739579c49f0b; patch: 0; 6db6f0eae6052b70885562e1733896647ec1d807 <482bcb85139addb4e8ac8ed10baeda3e0aad4031; patch: 6.6.151; patch: 7.1.8; patch: 6.12.103; 6db6f0eae6052b70885562e1733896647ec1d807 <a39789f211b8a4125f0c70e05b30cf715f4f187d; patch: 6.18.44; patch: 7.2; 6db6f0eae6052b70885562e1733896647ec1d807 <4c57056ca6aace2e9f94ae9298bf49ef6b0c95e4; 6db6f0eae6052b70885562e1733896647ec1d807 <4695430e8132420bf8de94da3eb36a6cf35fde6b; 6db6f0eae6052b70885562e1733896647ec1d807 <159ad90cb929c033308bb39a2c5f8fbf393b77aa

Die genannten Versionen sind die Angabe der Meldung. Patchlage vergleicht keine Versionsnummern und leitet aus ihnen keine Aussage ab — welche Version installiert ist, muss ein Mensch nachsehen.

Im Produktkatalog geführt

Für diese Produkte kann ein Bestand in Patchlage erfasst werden. Ein Advisory dazu erscheint am Morgen danach im Lagebericht.

Linux — Linux

Betrifft das einen Ihrer Kundenbestände?

Diese Seite kann die Frage nicht beantworten — sie kennt Ihren Bestand nicht. Wer seine Umgebungen erfasst hat, bekommt die Antwort am Morgen nach der Veröffentlichung, zusammen mit einem Absatz, den er unverändert an den Kunden weitergeben kann.

28 Tage testen

Patchlage meldet Treffer und Verdachtsfälle. Zu allem anderen sagt dieses System nichts — weder diese Seite noch der Lagebericht behauptet je, dass ein Bestand sicher ist.