CVE-2024-27397
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
W jądrze systemu Linux zidentyfikowano podatność w module netfilter, która dotyczy użycia znacznika czasu do sprawdzania czasu wygaśnięcia elementów zestawu. Wprowadzono pole znacznika czasu na początku transakcji, co pozwala uniknąć wygaszenia elementu podczas trwania transakcji kontrolnej.
Ocena ryzyka
Podatność ta może prowadzić do nieprzewidzianego wygaszenia elementów w zestawie, co może wpłynąć na działanie reguł zapory sieciowej i bezpieczeństwo sieci. Organizacje powinny być świadome potencjalnych luk w zabezpieczeniach związanych z zarządzaniem czasem w transakcjach.
Rekomendacja
Zaleca się aktualizację jądra systemu Linux do najnowszej wersji, aby załatać tę podatność oraz monitorowanie konfiguracji netfilter w celu zapewnienia, że elementy zestawu nie wygasają w trakcie aktywnych transakcji.
Inne podatności w Linux kernel, netfilter
Zobacz wszystkie- CVE-2024-27065Wysokie
W jądrze Linuxa rozwiązano podatność w netfilter, która polegała na nieprawidłowym porównywaniu wewnętrznych flag tabeli podczas aktualizacji. Problem ten został naprawiony poprzez przywrócenie pomijania transakcji, jeśli aktualizacja tabeli nie modyfikuje flag.
- CVE-2026-45860Wysokie
W jądrze systemu Linux rozwiązano podatność w module netfilter, która dotyczy limitu czyszczenia połączeń. Wprowadzono poprawki, aby zwiększyć limit czyszczenia do 64 połączeń oraz zoptymalizować proces zbierania nieużywanych połączeń.
- CVE-2026-43116Wysokie
W jądrze systemu Linux zidentyfikowano podatność w module netfilter, która dotyczy bezpiecznego dostępu do obiektu master conntrack. Problem polega na tym, że obiekt ten może zniknąć, co prowadzi do nieprawidłowego dostępu.
- CVE-2023-4147Wysokie
W jądrze Linuxa zidentyfikowano lukę typu use-after-free w funkcjonalności Netfilter podczas dodawania reguły z NFTA_RULE_CHAIN_ID. Luka ta umożliwia lokalnemu użytkownikowi awarię systemu lub eskalację uprawnień.
- CVE-2023-4004Wysokie
W jądrze Linuxa w module netfilter wystąpiła luka typu use-after-free, związana z wywołaniem funkcji nft_pipapo_remove bez elementu NFT_SET_EXT_KEY_END. Może to prowadzić do awarii systemu lub eskalacji uprawnień przez lokalnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: use timestamp to check for set element timeout Add a timestamp field at the beginning of the transaction, store it in the nftables per-netns area. Update set backend .insert, .deactivate and sync gc path to use the timestamp, this avoids that an element expires while control plane transaction is still unfinished. .lookup and .update, which are used from packet path, still use the current time to check if the element has expired. And .get path and dump also since this runs lockless under rcu read size lock. Then, there is async gc which also needs to check the current time since it runs asynchronously from a workqueue.