安全预警|系统安全|Linux Kernel nft_payload模块移位越界漏洞(CVE-2026-74579)

漏洞情况

nft_payload是Linux内核netfilter子系统中的一个核心表达式组件，主要用于将网络数据包的值拷贝到寄存器中，是nftables防火墙框架实现网络安全和流量管理的关键部分。近日，安全研究人员发现该组件的nft_payload_offload_mask()函数存在移位越界（Shift-Out-of-Bounds）及掩码计算错误漏洞。

在技术实现上，当该函数处理部分IPv6地址匹配（如field_len=16, priv_len=1）时，代码会执行1 << 120操作。由于移位操作数的指数120超出了32位整型的表示范围，触发了未定义行为（UBSAN报告指出shift exponent 120 is too large for 32-bit type ‘int’）。此外，该函数在裁剪掩码时仅处理一个word（4字节），导致剩余word保持为0xffffffff，造成掩码覆盖的字节数超过了规则实际匹配的字节数，引发掩码过度匹配（over-masking）。

在攻击场景方面，攻击者需要能够向目标系统发送精心构造的网络数据包来触发此漏洞。由于该漏洞位于netfilter子系统的网络流量处理路径中，攻击者可在特定条件下远程触发未定义行为导致内核崩溃，或利用掩码过度匹配问题绕过网络过滤器规则、读取及操纵超出规则范围的网络数据包数据，甚至在特定条件下实现权限提升。

受影响产品范围

•受影响产品：Linux Kernel

•受影响组件：netfilter子系统下的nft_payload模块

•引入版本：由提交记录 a5d45bc0dc50 (“netfilter: nftables_offload: build mask based from the matching bytes”) 引入

•修复状态：修复补丁已合入Linux稳定树，各Linux发行版将陆续跟进发布更新

潜在危害与缓解措施

该漏洞被成功利用后，攻击者可绕过系统的网络过滤规则使防火墙失效，或通过触发内核未定义行为导致系统拒绝服务（崩溃）。同时，掩码过度匹配问题可能导致敏感网络数据包数据被越权读取或操纵，在特定环境下还可能被用于权限提升，对系统安全构成严重威胁。

建议采取以下缓解措施：

• 版本升级：尽快将Linux内核升级至包含修复补丁的版本。密切关注Ubuntu、Debian、RHEL、CentOS等Linux发行版发布的安全公告，及时应用内核更新。

• 网络过滤加固：在暂无法升级的系统上，配置严格的网络过滤规则，限制不必要的网络流量进入netfilter处理路径，有效减少攻击面。

• 内核日志监控：加强内核日志监控力度，重点关注UBSAN错误报告、oops、panic以及netfilter相关异常日志，以便及时发现潜在的漏洞利用尝试。

• 容器与虚拟化环境加固：在容器和虚拟化环境中，严格限制容器对netfilter模块的访问能力，避免向不可信租户暴露网络过滤规则的修改权限。

• 安全审计：定期审查系统中netfilter/nftables的规则配置，移除不必要的复杂规则，从配置层面降低被利用的风险。