Linux dicht twee zwakke plekken in de IPv4‑netwerkstack van de kernel. De eerste was een race condition in de TCP‑afhandeling die kon uitmonden in een use‑after‑free van socketopties tijdens gelijktijdige SYN‑hertransmissies of bij migratie van request sockets. Oorzaak: het te vroeg vrijgeven van de inet_opt‑ en ireq_opt‑structuren. De kernel lost dit nu op door deze structuren pas na een RCU‑graceperiode vrij te geven, waardoor lezers gegarandeerd klaar zijn voordat het geheugen wordt hergebruikt. De fix is opgenomen in recente stable‑releases, waaronder 5.10.272, 5.15.223, 6.1.190 en 6.6.159. In testscenario’s met Multipath TCP bleken met precies getimede pakketjes zelfs crashes en in sommige configuraties remote impact mogelijk. Updaten is dus geen luxe. (lwn.net)

De tweede kwetsbaarheid zat dieper in de IPv4‑verwerking: onjuiste validatie van checksum‑metadata in inkomende pakketten. Daardoor kon door een lokale gebruiker of een onbetrouwbare gast‑VM gemanipuleerde checksum‑informatie (CHECKSUM_PARTIAL/CHECKSUM_COMPLETE) toch worden verwerkt. In dat pad kan de kernel later, bij het “afmaken” van de checksum, bytes in het reeds geparste netwerkheadergebied overschrijven. Gevolg: geheugenbeschadiging, crashes, datalekken en — in sterk gecontroleerde labopstellingen — code‑uitvoering op de host. Deze bug is publiekelijk bekend als PwnEscape en raakt met name paden waar niet‑vertrouwde metadata het netwerk inkomt: virtio‑net, TUN/TAP en AF_PACKET. Kernelontwikkelaars hebben patches aangeleverd die de checksum‑offset al bij binnenkomst strikt valideren en voorkomen dat partiële checksums nog aan headerbytes kunnen zitten. (lists.openwall.net)

Omdat zo’n striktere validatie in sommige niche‑setups frictie kan geven (denk aan exotische tunneling of zero‑copy‑stromen), is er daarnaast een nieuwe sysctl‑schakelaar toegevoegd om — tijdelijk en bewust — de nieuwe controle uit te zetten. Dat is een nooduitgang voor uitzonderlijke omgevingen en geen vervanging voor een reguliere kernelupdate. (prodcs.lwn.net)

Waarom dit ertoe doet

• Kernelbugs in netwerkstacks zijn zeldzaam maar berucht: ze zijn soms op afstand te triggeren en raken rechtstreeks de kernel. Dat maakt de potentiële impact groter dan bij veel user‑space problemen. In dit geval zijn grootschalige aanvallen niet waarschijnlijk door de complexiteit en extra mitigaties in distro‑kernels, maar de combinatie van netwerkpad + kernelgeheugen blijft een risicovolle categorie. (lwn.net)

Wat je nu het beste doet

• Update je kernel via de reguliere distributie‑updates. De patches voor zowel de race condition als de checksum‑validatie zitten in de huidige stable‑reeksen (o.a. 5.10.272, 5.15.223, 6.1.190, 6.6.159 en mainline/rc). Plan een herstart zodat de nieuwe kernel actief wordt. (lwn.net)
• Beheer je multi‑tenant hosts of KVM‑omgevingen? Patch de hostkernel met prioriteit. De kwetsbare paden zijn vanaf een gast‑VM bereikbaar wanneer die via virtio‑net of TUN/TAP verkeer met gemanipuleerde metadata kan aanbieden. (lists.openwall.net)
• Tijdelijke noodmaatregel voor uitzonderingen: als de nieuwe validatie problemen geeft in specifieke pipelines, gebruik dan de nieuwe sysctl‑optie als tijdelijke overbrugging en documenteer de afwijking. Los het structureel op met een update of ontwerpaanpassing. (prodcs.lwn.net)

Iets meer onder de motorkap

• Bij de TCP‑race condition zat de crux rond het moment waarop een nieuw kind‑socket tijdens de handshake de opties overneemt en het oude request‑object wordt opgeruimd. Door die opruiming onder RCU te schuiven, verdwijnt het tijdvenster waarin een andere CPU nog naar vrijgegeven geheugen kan grijpen. (prodcs.lwn.net)
• Voor de checksum‑kwestie gaat het niet om “foute bits op de draad”, maar om metadata die de kernel helpt bij checksum‑offload en GSO/GRO. Juist omdat die metadata normaliter door de kernel zelf wordt gezet en elders als invariant wordt gezien, moest de invoer op de weinige ‘onbetrouwbare’ grenzen strenger worden gemaakt. De nieuwe patches doen precies dat en blokkeren dat partiële checksums ooit nog headervelden kunnen herschrijven nadat de parser ze heeft geïnterpreteerd. (lists.openwall.net)

Kortom: installeer de laatste kernelupdates en houd — zeker in virtuele, multi‑tenant en netwerkzware omgevingen — een extra oog op dit soort netwerkpad‑kwetsbaarheden. Ze zijn lastig te misbruiken, maar het zijn precies de bugs die je niet onnodig wilt laten sudderen.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.