CVE-2026-72418
요약
\~에 의해 VulDB • 2026. 08. 15.
리눅스 커널에서 다음 취약점이 해결되었습니다:
netfilter: nf_conncount: 초기 확인된 ct에 대한 connlimit 드롭 방지
커밋 69894e5b4c5e("netfilter: nft_connlimit: 추가가 건너뛴 경우 카운트 업데이트")는 소프트 제한(soft-limiting) 시나리오에서 connlimit를 사용할 때 유효한 연결에 대한 패킷이 드롭되는 회귀(regression) 문제를 도입했습니다.
새로운 연결이 현재 TIME_WAIT 상태인 소켓을 재사용할 때 이 문제가 발생합니다. 이러한 시나리오에서는 연결 추적(entry) 항목이 이미 확인된 것으로 평가됩니다. 이전에는 __nf_conncount_add()가 연결이 확인되었고 루프백 인터페이스에서 발생하지 않은 경우 추가를 건너뛰고 -EEXIST를 반환한다고 가정했습니다.
추가 작업을 건너뛰면 가비지 컬렉션 실행이 트리거되어 TIME_WAIT 연결이 정리됩니다. 결과적으로 활성 연결 수가 0으로 떨어지며, 이는 xt_connlimit가 잘못 처리하여 완전히 유효한 새로운 연결을 잘못된 방식으로 거부하게 됩니다.
인터페이스 체크를 프로토콜 독립적인 상태 확인(state checks)으로 대체함으로써 이를 수정합니다. 이제 우리는 트리에의 삽입을 건너뛰고, 연결이 IPS_ASSURED인 경우에만 잠금 없는 가비지 컬렉션(lockless garbage collection) 최적화를 유지합니다. 이렇게 하면 재사용된 TIME_WAIT 소켓이나 로컬에서 생성된 SYN-ACK와 같은 초기 확인 설정 패킷(setup packets)이 잘못 드롭되지 않고 적절히 평가되고 카운팅될 수 있습니다. 이러한 설정 패킷들이 올바르게 중복 제거되도록 goto check_connections 경로는 유지됩니다.
로컬 또는 외부 연결에 대한 소프트 제한 시나리오를 깨뜨리지 않는지 확인하기 위해 slowhttptest와 로컬에서 구성된 HTTP 서버로 테스트했습니다. 또한 OVS zone limit에서도 테스트되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.