CVE-2026-72320
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
W jądrze Linux w module netfilter nft_lookup występuje błąd w obsłudze elementów catchall przy odwróconych wyszukiwaniach. Zmienna 'found' nie jest przeliczana po zastąpieniu 'ext' przez wyszukiwanie catchall, co może prowadzić do błędnego dopasowania lub pominięcia elementu catchall w przypadku zapytań z negacją.
Ocena ryzyka
Błędne decyzje w filtrowaniu pakietów mogą pozwolić na nieautoryzowany ruch lub zablokować legalny ruch, co narusza politykę bezpieczeństwa sieci.
Rekomendacja
Zastosuj aktualizację jądra Linux zawierającą poprawkę dla tej podatności. Jeśli to możliwe, ogranicz użycie odwróconych wyszukiwań w regułach nftables do czasu aktualizacji.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_lookup: fix catchall element handling with inverted lookups nft_lookup_eval() decides whether a lookup matched (`found`) from the direct set lookup and priv->invert before falling back to the catchall element used by interval sets (e.g. nft_set_rbtree) for the open-ended default range. Since `found` is never recomputed after `ext` is replaced by the catchall lookup, inverted lookups (NFT_LOOKUP_F_INV, "!= @set") can wrongly match or wrongly skip the catchall element, producing the wrong verdict. Fold the catchall lookup into `ext` before computing `found`, matching the order already used by nft_objref_map_eval().