CVE-2026-99077 in Linux
Résumé
par VulDB • 24/10/2026
Dans le noyau Linux, la vulnérabilité suivante a été corrigée :
ipv4: udp: Créer des exceptions avant l'appariement de socket
Actuellement, lorsque les paquets ICMP « Fragmentation Needed » (Nécessité de fragmentation) et « Redirect Message » (Message de redirection) sont livrés localement et font référence à un paquet UDP, une exception FIB nexthop (FNHE - Forwarding Information Base Next Hop Exception) n'est créée que si le noyau peut appariér le paquet UDP avec une socket existante.
Ce comportement permet aux attaquants hors chemin (off-path) de mener une attaque par canal latéral sur le cache FNHE afin de découvrir le port éphémère utilisé par une socket UDP connectée.
Les commits 6457378fe796 (« ipv4: utiliser siphash au lieu de Jenkins dans fnhe_hashfun() ») et 67d6d681e15b (« ipv4: rendre le cache d'exceptions moins prévisible ») ont tenté d'atténuer ces attaques en rendant plus difficile pour les attaquants la découverte des collisions de hachage dans le cache FNHE, et en randomisant le nombre d'exceptions qu'un compartiment (bucket) de hachage peut contenir, respectivement. Malheureusement, ces deux mesures d'atténuation peuvent être contournées.
Au lieu de cela, atténuez ces attaques en créant toujours une exception FNHE, même avant d'avoir essayé de trouver une socket correspondante. Cela s'effectue en appelant ipv4_update_pmtu() et ipv4_redirect(), les assistants (helpers) utilisés lorsque le paquet cité n'a pas été généré par une socket.
Cela signifie que les devinettes (correctes ou incorrectes) d'un attaquant hors chemin entraîneront toujours la création ou la mise à jour d'une exception FNHE dans le cache observable par l'attaquant.
Transmettez un oif (interface de sortie) égal à 0, de manière similaire à icmp_err(). Il s'agit également du oif utilisé par le chemin des sockets pour les sockets qui ne sont pas liées à un périphérique spécifique.
Notez que cela n'autorise pas les attaquants à créer des FNHE qu'ils ne pouvaient pas créer auparavant, car ces deux assistants peuvent déjà être atteints avec peu ou aucune validation. Par exemple, en envoyant une erreur ICMP qui cite une réponse Echo ICMP (ICMP Echo Reply) ou une erreur ICMP qui cite un port source UDP correspondant à une socket générique (wildcard).
Notez également que dans le cas favorable (socket appariée), ce schéma entraîne un coût supplémentaire sous forme d'une recherche de route, car les assistants sans socket effectuent leur propre recherche avant celle effectuée par ipv4_sk_update_pmtu() / ipv4_sk_redirect(). Lorsque ces deux recherches aboutissent à des nexthops différents, cela résulte également en la création de deux exceptions pour le même IP de destination. Une exception dans le cache FNHE du nexthop résolu par les assistants sans socket et une autre dans le cache FNHE du nexthop utilisé par la socket.
If you want to get best quality of vulnerability data, you may have to visit VulDB.