CVE-2026-68432
Vulnérabilité élevée dans Linux (Linux)
Description
In the Linux kernel, the following vulnerability has been resolved: vxlan: require CAP_NET_ADMIN in the device netns for changelink A tunnel changelink() operates on at most two netns, dev_net(dev) and the sticky underlay netns vxlan->net. They differ once the device is created in or moved to a netns other than the one the request runs in. The rtnl changelink path checks CAP_NET_ADMIN only against dev_net(dev), so a caller privileged there but not in vxlan->net can rewrite a vxlan device whose underlay lives in vxlan->net. vxlan_changelink() validates and applies the new configuration against vxlan->net (vxlan_config_validate(vxlan->net, ...)) and can reopen the underlay socket in that netns, so the same reasoning as the tunnel changelink series applies here. Gate vxlan_changelink() with rtnl_dev_link_net_capable(), at the top of the op before any attribute is parsed, matching ipgre_changelink() and the rest of the "require CAP_NET_ADMIN in the device netns for changelink" series. Found by 0sec automated security-research tooling (https://0sec.ai).
Gravité et risque d'exploitation
CVE-2026-68432 obtient un score CVSS de 8.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.13 %, ce qui la place devant 2.3 % des CVE référencées.
Que faire ?
- Vérifiez si Linux (versions <=6.1.*, <=6.12.*, 6.12.101, 4.11, 0, <3a61bd9637f3d929aa846e4eb3d98b48c26fcb0e, <e8ad0d311e225939a9a6c745d6cc384c7364ec87, <=7.1.*, 5.15.216, <b95a8743e58f7efed5ddc4cb73829b66f17feab0, <32d10c46bfde3e9b274e9e1bd6399d0ebea8f60f, <=5.10.*, <=6.6.*, 8bcdc4f3a20be949df54b67e5ae2734daabb5792, 6.18.42, <b3793d7dccb192ffff29894d11824db6251acdd5, 7.1.6, 6.1.183, <4.11, <=6.18.*, <0aa580a8bbbed2507b4582a1f0ef581d480d06ed, <=*, <=5.15.*, <7465ade989ba84adc2bfa58bad3ca25d249f0f7a, 5.10.265, 6.6.148, 7.2, <730c7e5fea7f06e0cdf21c547222ec93234fd1d6) est présent sur votre parc.
- Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
- À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
- Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.
Références
- https://git.kernel.org/stable/c/b95a8743e58f7efed5ddc4cb73829b66f17feab0
- https://git.kernel.org/stable/c/7465ade989ba84adc2bfa58bad3ca25d249f0f7a
- https://git.kernel.org/stable/c/0aa580a8bbbed2507b4582a1f0ef581d480d06ed
- https://git.kernel.org/stable/c/b3793d7dccb192ffff29894d11824db6251acdd5
- https://git.kernel.org/stable/c/32d10c46bfde3e9b274e9e1bd6399d0ebea8f60f
- https://git.kernel.org/stable/c/730c7e5fea7f06e0cdf21c547222ec93234fd1d6
- https://git.kernel.org/stable/c/e8ad0d311e225939a9a6c745d6cc384c7364ec87
- https://git.kernel.org/stable/c/3a61bd9637f3d929aa846e4eb3d98b48c26fcb0e