CVE-2026-99077 in Linux
Riassunto
di VulDB • 23/10/2026
Nel kernel Linux è stata risolta la seguente vulnerabilità:
ipv4: udp: Creare eccezioni prima della corrispondenza del socket
Attualmente, quando i pacchetti ICMP "Fragmentation Needed" (Frammentazione necessaria) e Redirect Message (Messaggio di instradamento alternativo) vengono consegnati localmente e citano un pacchetto UDP, viene creata solo se il kernel riesce ad abbinare il pacchetto UDP a un socket esistente.
Questo comportamento consente agli attaccanti off-path di condurre un attacco side-channel sulla cache FNHE per scoprire la porta effimera utilizzata da un socket UDP connesso.
I commit 6457378fe796 ("ipv4: use siphash instead of Jenkins in fnhe_hashfun()") e 67d6d681e15b ("ipv4: make exception cache less predictible") hanno tentato di mitigare tali attacchi rendendo più difficile per gli attaccanti scoprire le collisioni hash nella cache FNHE e randomizzando il numero di eccezioni che un bucket hash può contenere, rispettivamente. Sfortunatamente, entrambe le mitigazioni possono essere aggirate.
Per contrastare questi attacchi, creare sempre una FNHE, anche prima di tentare di trovare un socket corrispondente. Fare ciò chiamando ipv4_update_pmtu() e ipv4_redirect(), i helper utilizzati quando il pacchetto citato non è originato da un socket.
Ciò significa che le ipotesi (corrette o errate) di un attaccante off-path porteranno sempre alla creazione o all'aggiornamento di una FNHE nella cache osservabile dall'attaccante.
Passare un valore oif pari a 0, in modo simile a icmp_err(). Questo è anche il valore oif utilizzato dal percorso del socket per i socket non associati a un dispositivo.
Si noti che questo non consente agli attaccanti di creare FNHE che non potevano creare prima, poiché entrambi gli helper possono già essere raggiunti con poca o nessuna validazione. Ad esempio, inviando un errore ICMP che cita una risposta Echo ICMP o uno che cita una porta sorgente UDP corrispondente a un socket wildcard.
Si noti inoltre che nel caso positivo (socket abbinato) il suddetto schema comporta il costo di una ricerca del percorso aggiuntiva, poiché gli helper senza socket eseguono la propria ricerca prima di quella eseguita da ipv4_sk_update_pmtu() / ipv4_sk_redirect(). Quando le due risolvono in nexthop diversi, ciò si traduce anche nella creazione di due eccezioni per lo stesso IP di destinazione. Una nella cache FNHE del nexthop risolto dagli helper senza socket e un'altra nella cache FNHE del nexthop utilizzato dal socket.
If you want to get best quality of vulnerability data, you may have to visit VulDB.