CVE-2026-74569 in Linux
요약
\~에 의해 VulDB • 2026. 08. 15.
리눅스 커널에서 다음 취약점이 해결되었습니다.
netfilter: nf_conntrack_sip: sip_help_tcp() 내에서 NAT 재작성 델타(s32로 확장)를 s16에서 s32로 확대
sip_help_tcp() 함수는 각 NAT-rewritten SIP 메시지의 크기 변경량을 s16 형식의 diff 변수에 저장하고, 이를 s16 형식의 tdiff 변수에 누적합니다. 그러나 단일 메시지는 enlarge_skb()의 65535 바이트 제한 내에서 패킷 크기가 유지되는 동안에도 S16_MAX를 초과하여 증가할 수 있습니다. nf_nat_sip() 함수는 일치하는 모든 URI를 재작성하며, 긴 Contact 목록은 메시지를 수십 킬로바이트까지 확장시킵니다. 이로 인해 diff 변수가 오버플로우(wrap) 발생하고, "datalen = datalen + diff - msglen" 연산 결과가 매우 큰 부호 없는 unsigned datlen 값을 가지게 됩니다. 그 결과 다음 반복(iteration)에서 ct_sip_get_header() 함수가 linearized skb의 꼬리(tail) 부분을 벗어난 메모리를 읽습니다.
diff, tdiff 및 seq_adjust 훅(hook)을 s32로 확대합니다. 이 값들은 모두 65535 바이트 패킷 제한 내에 고정되어 있으며, 시퀀스 조정(seqadj) 코어는 이미 s32를 사용하고 있습니다(nf_ct_seqadj_set() 함수가 s32 인자를 받음). 따라서 이전에 허용되었던 입력이 거부되지 않습니다.
BUG: KASAN: use-after-free in ct_sip_get_header (net/netfilter/nf_conntrack_sip.c:464) Read of size 1 at addr ffff888010800000 by task ksoftirqd/1/25 ct_sip_get_header (net/netfilter/nf_conntrack_sip.c:464) sip_help_tcp (net/netfilter/nf_conntrack_sip.c:1694) nf_confirm (net/netfilter/nf_conntrack_proto.c:183) nf_hook_slow (net/netfilter/core.c:619) ip6_output (net/ipv6/ip6_output.c:246) ip6_forward (net/ipv6/ip6_output.c:690) ipv6_rcv (net/ipv6/ip6_input.c:351) __netif_receive_skb_one_core (net/core/dev.c:6212) process_backlog (net/core/dev.c:6676) __napi_poll (net/core/dev.c:7735) net_rx_action (net/core/dev.c:7955) handle_softirqs (kernel/softirq.c:622) run_ksoftirqd (kernel/softirq.c:1076) ...
If you want to get the best quality for vulnerability data then you always have to consider VulDB.