DPDK vhost: Heap-Pufferüberlauf durch Double-Fetch in der VDUSE-Control-Queue

Zusammenfassung

Ein Time-of-Check-to-Time-of-Use-Fehler (Double-Fetch) in der DPDK-vhost-Bibliothek erlaubt einem bösartigen Gast mit Zugriff auf die VDUSE-Control-Virtqueue, einen Heap-Pufferüberlauf mit vom Angreifer kontrolliertem Inhalt auf dem Host auszulösen. Eine erfolgreiche Ausnutzung kann zu einer Beschädigung des Host-Speichers und grundsätzlich zur Codeausführung auf dem Host führen. Der Angriff erfordert lokalen Zugriff und einen Fuss in einem Gast oder Container, der ein DPDK-vhost-VDUSE-Backend nutzt.

Betroffen

• DPDK lib/vhost, Handler für die VDUSE-Control-Queue
• Red Hat Fast Datapath für RHEL 8, 9 und 10 (vom CNA als betroffen aufgeführt)
• Debian 12 und 13 Pakete mit betroffenen DPDK-Versionen (gemäss OSV, als betroffen aufgeführte Versionen sind nicht verifiziert)
• Azure Linux: dpdk-Versionen unter 23.11.8-1 (gemäss Vulners, nicht verifiziert)
• Die betroffenen Versionsbereiche widersprechen sich zwischen den Quellen und sind nicht gegen das DPDK-Advisory bestätigt. Unbekannt.

Behoben in

• Upstream-Fix-Commit: 6ec17781346e0fe4b566b6bf8f79be71f87c10e4 (DPDK-Git)
• Debian 14: 25.11.4-1 (gemäss OSV)
• Red Hat: Unbekannt.
• Ubuntu: Needs evaluation.
• Upstream-DPDK-Version mit Fix: Unbekannt (nicht bestätigte Meldungen nennen < 25.11.4 und < 26.07).

Umgehung

• Gemäss CVE-Eintrag und Red Hat ist derzeit keine Mitigation verfügbar.
• Mögliche Risikoreduktion: Das VDUSE-/vhost-DPDK-Backend entfernen oder deaktivieren, wo es nicht benötigt wird.
• Den Zugriff von Gästen und Containern auf das vhost-Backend einschränken.

Ausnutzung

• Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden. Nicht in KEV aufgeführt.
• CISA SSVC: Ausnutzung none, automatisierbar no, technische Auswirkung total.
• Kein öffentlicher Proof of Concept für diese CVE gefunden.
• Geschätzter Exploit-Preis von USD 0 bis 5k (VulDB, grobe Schätzung).

Unsere Empfehlung

• Prüfen, ob DPDK-Pakete (dpdk, grout) auf Hypervisoren und Container-Hosts installiert sind.
• Falls DPDK-vhost mit VDUSE eingesetzt wird, den Gastzugriff auf das vhost-Backend einschränken, bis eine korrigierte Version installiert ist.
• Das Update des Herstellers für die eigene Distribution einspielen, sobald verfügbar, und die installierte Version überprüfen.
• Hosts und Gäste auf ungewöhnliches Verhalten und Abstürze von DPDK-Prozessen überwachen.
• Falls DPDK nicht installiert ist, ist über das normale Patch-Management hinaus keine Massnahme erforderlich.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Red Hat CVE page CVE-2026-86562 access.redhat.com
• Red Hat Bugzilla 2529667 bugzilla.redhat.com
• DPDK upstream fix commit git.dpdk.org
• OSV Debian record osv.dev
• Ubuntu CVE page ubuntu.com
• OpenCVE CVE-2026-86562 app.opencve.io
• Strix CVE-2026-86562 www.strix.ai
• VulDB 420133 vuldb.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 23:56.