CVE-2026-1097 Linux 内核零日漏洞披露与应急响应

CVE-2026-1097（CVSS 9.8 Critical）是 ICE 实验室在对 Linux 内核 Netfilter 子系统进行 Fuzzing 测试时发现的一个零日漏洞，已于 2026 年 3 月通过负责任披露流程通知维护者。

漏洞详情

漏洞类型：堆溢出（Heap Overflow） 影响组件：net/netfilter/nf_tables_api.c 影响版本：Linux Kernel 5.15 - 6.12

触发条件

当用户空间通过 nf_tables API 执行以下操作序列时，可触发堆溢出：

1. 创建包含 NFTA_SET_USERDATA 的规则集合
2. 并发提交 NFT_MSG_NEWRULE 和 NFT_MSG_DELRULE
3. 在 nft_setelem_catchall 处理路径中，dlen 未正确校验导致越界写入

利用场景

• 本地攻击者可实现从非特权用户态到内核态的提权
• 结合用户命名空间可实现容器内完整内核控制
• 理论上可构造远程内核代码执行链（需配合网络服务）

时间线

日期	事件
2026-02-12	ICE 实验室 Fuzzer 检测到异常 crash
2026-02-18	确认为可利用漏洞，启动负责任披露
2026-02-25	通知 Linux Kernel Security Team
2026-03-05	上游补丁合入 stable 分支
2026-03-10	CVE-2026-1097 正式分配
2026-03-15	公开披露

补丁分析

// 修复：增加 dlen 校验
+ if (dlen > NFT_USERDATA_MAXLEN)
+     return -EINVAL;
  kdata = kmalloc(dlen, GFP_KERNEL);

修复方案简洁有效，核心是在 nft_user_data_copy 入口处增加长度边界检查，阻止超长 userdata 写入。

后续工作

ICE 实验室将持续监控 Netfilter 子系统的安全状态，并计划发布针对 nf_tables 的专项 Fuzzing 工具集。