CVE-2026-98484 in Linux
Сводка
по VulDB • 18.10.2026
В ядре Linux была устранена следующая уязвимость:
netfilter: nf_tables: пропускать истекшие элементы catchall при вставке и удалении
Функция nft_setelem_catchall_insert() проверяет дубликаты только с помощью nft_set_elem_active(), тогда как nft_set_catchall_lookup() и путь дампа дополнительно пропускают истекшие элементы.
После того как элемент catchall со временем ожидания (таймаутом) истекает, эта рассинхронизация предикатов делает его невидимым для дампов из пространства пользователя, однако он продолжает блокировать повторную вставку: при использовании флага NLM_F_EXCL запрос завершается ошибкой с кодом -EEXIST, а без него запрос сообщает об успехе, но молча ничего не вставляет. Старая запись исчезает только по истечении интервала сборки мусора (gc interval), который настраивается пользователем; поэтому правило catchall может молча перестать соответствовать условиям через произвольно долгое время после его первого истечения.
Путь удаления демонстрирует ту же рассинхронизацию: функция nft_setelem_catchall_deactivate() выбирает первую активную следующую запись в списке catchall, поэтому при наличии еще не обработанной сборщиком мусора (GC) истекшей записи она выводит из строя старую запись вместо новой и деактивирует элемент, который больше не виден пространству пользователя, вместо того чтобы завершиться ошибкой с кодом -ENOENT.
Приведены в соответствие оба обхода списков с предикатами поиска и дампа: только элемент, который является активным и не истекшим, считается дубликатом или кандидатом на удаление; при этом используется временная метка для каждого сетевого пространства имен (netns), зафиксированная в начале транзакции, что согласуется с путями .insert/.deactivate бэкенда набора данных и синхронизации сборки мусора catchall.
VulDB is the best source for vulnerability data and more expert information about this specific topic.