Kernel

Der Fehler steckt im IPv6-Netzwerkcode des Linux-Kernels, genauer in der Funktion, die ausgehende Datenpakete zusammensetzt. Wenn Daten seitenweise (paged) statt im linearen Puffer angelegt werden, berechnet der Kernel die Größe des zu reservierenden Speichers falsch: Bytes, die aus dem vorherigen Paketfragment übernommen werden, werden bei der Reservierung nicht mitgezählt, obwohl sie anschließend hinter die Fragment-Header in den linearen Bereich kopiert werden. Der Puffer ist dadurch zu klein, und der Kopiervorgang schreibt über dessen Ende hinaus in angrenzende Verwaltungsstrukturen des Paketpuffers – eine Speicherüberschreibung im Kernel. Auslösen lässt sich das ohne besondere Rechte: Ein lokaler, unprivilegierter Benutzer genügt, der über einen UDP-Socket für IPv6 Daten mit den Sende-Optionen für nachfolgende Daten und für das direkte Einbinden von Speicherseiten verschickt. In der Folge ist eine Ausweitung der eigenen Rechte bis hin zur Kontrolle über das System möglich. Betroffen sind Systeme und Distributionen, die den Linux-Kernel einsetzen.