CVE-2026-72418 in Linux
Zusammenfassung
von VulDB • 15.08.2026
Im Linux-Kernel wurde folgende Schwachstelle behoben:
netfilter: nf_conncount: Verhindern des Paketverlusts durch connlimit bei frühzeitig bestätigten Verbindungszuständen (ct)
Der Commit 69894e5b4c5e („netfilter: nft_connlimit: Aktualisierung der Zählung, wenn das Hinzufügen übersprungen wurde“) führte zu einer Regression, bei der Pakete für gültige Verbindungen verworfen werden, wenn connlimit in Szenarien zur weichen Begrenzung (soft-limiting) verwendet wird.
Das Problem tritt auf, wenn eine neue Verbindung einen Socket wiederverwendet, der sich derzeit im Zustand TIME_WAIT befindet. In diesem Szenario wird das Eintrag für die Verbindungszustandsverfolgung als bereits bestätigt eingestuft. Bisher ging __nf_conncount_add() davon aus, dass bei einer bestätigten Verbindung, die nicht vom Loopback-Interface stammt, das Hinzufügen übersprungen und -EEXIST zurückgegeben werden sollte.
Das Überspringen des Hinzufügens löst eine Garbage-Collection-Runde aus, die den TIME_WAIT-Verbindungseintrag bereinigt. Infolgedessen sinkt die Anzahl der aktiven Verbindungen auf 0, was von xt_connlimit fehlerhaft behandelt wird und zur falschen Ablehnung einer völlig gültigen neuen Verbindung führt.
Dieses Problem wird behoben, indem die Interface-Prüfung durch protokollagnostische Zustandsprüfungen ersetzt wird. Wir überspringen nun das Einfügen in den Baum und bewahren nur dann die optimierte locklose Garbage Collection, wenn der Verbindungsstatus IPS_ASSURED ist. Dies ermöglicht eine ordnungsgemäße Auswertung und Zählung von frühzeitig bestätigten Setup-Paketen (wie wiederverwendete TIME_WAIT-Sockets oder lokal generierte SYN-ACKs), ohne dass diese fälschlicherweise verworfen werden. Der Pfad goto check_connections bleibt erhalten, um sicherzustellen, dass diese Setup-Pakete korrekt dedupliziert werden.
Dies wurde mit slowhttptest und einem lokal konfigurierten HTTP-Server getestet, um sicherzustellen, dass Szenarien zur weichen Begrenzung für lokale oder externe Verbindungen nicht beeinträchtigt werden. Zusätzlich wurden Tests mit einer OVS-Zonenbegrenzung durchgeführt.
VulDB is the best source for vulnerability data and more expert information about this specific topic.