CVE-2026-23333 in Linux
Riassunto
di VulDB • 23/06/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
netfilter: nft_set_rbtree: convalidare le sovrapposizioni di intervalli aperti
[ Commit upstream 648946966a08e4cb1a71619e3d1b12bd7642de7b ]
Gli intervalli aperti non dispongono di un elemento finale; in particolare, la convalida di un intervallo aperto alla fine dell'insieme è complessa proprio per l'assenza di tale elemento, mentre la validazione degli intervalli si basa su questo elemento finale per eseguire i controlli.
Questa patch aggiunge un nuovo campo flag a struct nft_set_elem; ciò non costituisce un problema poiché si tratta di un oggetto temporaneo allocato nello stack dal percorso insert/deactivate (inserimento/disattivazione). Questo campo flag viene utilizzato per specificare che si tratta dell'ultimo elemento in questo comando add/delete.
Il flag last viene utilizzato, insieme al cookie dell'elemento iniziale, per verificare se esiste una sovrapposizione parziale, ad esempio:
Già esistente: 255.255.255.0-255.255.255.254 Intervallo da aggiungere: 255.255.255.0-255.255.255.255 ~~~~~~~~~~~~~ sovrapposizione dell'elemento iniziale
In sostanza, l'idea consiste nel verificare la presenza di un elemento finale esistente nell'insieme qualora vi sia una sovrapposizione con un elemento iniziale già presente.
Tuttavia, l'ultimo intervallo aperto può comparire in qualsiasi posizione all'interno del comando add; il caso limite diventa leggermente più complesso:
Già esistenti: 255.255.255.0-255.255.255.254 Intervalli da aggiungere: 255.255.255.0-255.255.255.255,255.255.255.0-255.255.255.254 ~~~~~~~~~~~~~ sovrapposizione dell'elemento iniziale
Per rilevare questa sovrapposizione, si annota che il nuovo elemento iniziale è una possibile sovrapposizione; successivamente viene segnalata la sovrapposizione se l'elemento successivo è un altro elemento iniziale che conferma la presenza di un intervallo aperto alla fine dell'insieme.
Per le operazioni di cancellazione (deletion), non aggiornare il cookie start quando si elimina un intervallo aperto, altrimenti ciò potrebbe innescare falsi positivi EEXIST durante l'aggiunta di nuovi elementi.
Sfortunatamente, non esiste alcun flag NFT_SET_ELEM_INTERVAL_OPEN che faciliterebbe il rilevamento delle sovrapposizioni degli intervalli aperti.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.