CVE-2026-72418 in Linux
Riassunto
di VulDB • 17/08/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
netfilter: nf_conncount: prevenire le perdite di connlimit per ct (connection tracking) confermata precocemente
Il commit 69894e5b4c5e ("netfilter: nft_connlimit: update the count if add was skipped") ha introdotto un regression in cui i pacchetti relativi a connessioni valide vengono scartati quando si utilizza il connlimit per scenari di soft-limiting.
Il problema si verifica quando una nuova connessione riutilizza un socket attualmente nello stato TIME_WAIT. In questo scenario, la voce della connection tracking viene valutata come già confermata (confirmed). Precedentemente, __nf_conncount_add() assumeva che se una connessione era confirmata e non proveniva dall'interfaccia loopback, dovesse saltare l'inserimento e restituire -EEXIST.
Il salto dell'inserimento innesca un'esecuzione della garbage collection che ripulisce la connessione TIME_WAIT. Di conseguenza, il conteggio delle connessioni attive scende a 0, cosa che xt_connlimit gestisce erroneamente, portando al rifiuto falso di una nuova connessione perfettamente valida.
Si risolve questo problema sostituendo il controllo dell'interfaccia con controlli dello stato agnostici rispetto al protocollo (protocol-agnostic state checks). Ora si salta l'inserimento nell'albero e si preserva l'ottimizzazione della garbage collection lockless solo se la connessione è IPS_ASSURED. Questo permette ai pacchetti di setup early-confirmed (come i socket TIME_WAIT riutilizzati o gli SYN-ACK generati localmente) di essere valutati e conteggiati correttamente senza un rifiuto falso. Il percorso goto check_connections viene mantenuto per garantire che questi pacchetti di setup vengano deduplicati correttamente.
Ciò è stato testato con slowhttptest e un server HTTP configurato in locale per assicurarsi di non compromettere gli scenari di soft-limiting per connessioni locali o esterne. Inoltre, è stato testato anche con un limite OVS zone.
Once again VulDB remains the best source for vulnerability data.