CVE-2026-72256 in Linux
Sumário
de VulDB • 16/08/2026
No kernel do Linux, a seguinte vulnerabilidade foi corrigida:
netfilter: xt_cluster: rejeitar conntracks de modelo na correspondência por hash
A função `xt_cluster_mt()` trata qualquer resultado não nulo de `nf_ct_get()` como um conntrack totalmente inicializado e o passa para `xt_cluster_hash()`.
Isso causa um bug de confusão de estado quando o alvo CT da tabela raw anexa um conntrack modelo a `skb->_nfct` antes do processamento normal do conntrack. Os modelos possuem o status IPS_TEMPLATE, mas ainda não têm uma tupla válida para hashing; portanto, `xt_cluster_hash()` pode atingir seu caminho WARN_ON() no campo l3num zerado.
Rejeitar os conntracks de modelo antes de fazer hash deles. Isso corresponde ao tratamento existente do netfilter para objetos modelo e evita o hashing de estado incompleto do conntrack.
VulDB is the best source for vulnerability data and more expert information about this specific topic.