CVE-2025-21648
ŚrednieCVSS 5.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W jądrze Linux stwierdzono podatność w module netfilter conntrack, która pozwala na osiągnięcie zbyt dużego rozmiaru tablicy haszującej (hashtable) podczas jej zmiany rozmiaru. Powoduje to wywołanie ostrzeżenia WARN_ON_ONCE w funkcji __kvmalloc_node_noprof(), ponieważ flaga __GFP_NOWARN nie jest ustawiona. Problem dotyczy tylko przestrzeni nazw init_netns.
Ocena ryzyka
Ryzyko polega na możliwym zakłóceniu działania systemu poprzez wywołanie ostrzeżenia jądra, co może prowadzić do niestabilności lub ataku DoS (Denial of Service) w środowiskach z dużym ruchem sieciowym.
Rekomendacja
Należy niezwłocznie zaktualizować jądro Linux do wersji zawierającej poprawkę ograniczającą maksymalny rozmiar tablicy haszującej do INT_MAX. W międzyczasie można ograniczyć możliwość zmiany rozmiaru tablicy poprzez odpowiednie skonfigurowanie parametrów sieciowych.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: netfilter: conntrack: clamp maximum hashtable size to INT_MAX Use INT_MAX as maximum size for the conntrack hashtable. Otherwise, it is possible to hit WARN_ON_ONCE in __kvmalloc_node_noprof() when resizing hashtable because __GFP_NOWARN is unset. See: 0708a0afe291 ("mm: Consider __GFP_NOWARN flag for oversized kvmalloc() calls") Note: hashtable resize is only possible from init_netns.