Odebrany

CVE-2026-99076

opublikowano: 23.10.2026, 15:17

modyfikacja: 23.10.2026, 15:17

Ocena CVSS

n/a

Brak oceny

Oficjalne źródła

>_ Opis

Tłumaczenie automatyczne – może zawierać nieścisłości.

W jądrze Linuksa usunięto następującą lukę:

ipv6: udp: Utwórz wyjątki przed dopasowaniem gniazda

Obecnie, gdy pakiet ICMPv6 jest zbyt duży i pakiety wiadomości przekierowania są
dostarczane lokalnie i cytują pakiet UDP, tworzony jest jedynie wyjątek
w pamięci podręcznej wyjątków IPv6, jeśli jądro może dopasować pakiet UDP do
istniejące gniazdo.

To zachowanie umożliwia atakującym zboczonym z drogi przeprowadzenie ataku z kanału bocznego
w pamięci podręcznej wyjątków, aby odkryć efemeryczny port używany przez a
podłączone gniazdo UDP.

Zatwierdź 4785305c05b2 („ipv6: użyj siphash w rt6_exception_hash()”) i
próba zatwierdzenia a00df2caffed („ipv6: uczyń pamięć podręczną wyjątków mniej przewidywalną”)
aby złagodzić takie ataki, utrudniając atakującym wykrycie
kolizje skrótów w pamięci podręcznej wyjątków i poprzez losowanie liczby
wyjątki, odpowiednio, które może pomieścić wiadro mieszania. Niestety, obydwa
środki łagodzące można ominąć.

Zamiast tego ogranicz takie ataki, zawsze tworząc nawet wyjątek
zanim spróbujesz znaleźć pasujące gniazdo. Zrób to dzwoniąc
ip6_update_pmtu() i ip6_redirect(), pomocniki używane podczas cytowania
pakiet nie pochodził z gniazda.

Oznacza to, że domysły (dobre lub błędne) atakującego znajdującego się poza ścieżką będą takie same
zawsze powoduje utworzenie lub aktualizację wyjątku w pamięci podręcznej
atakujący może to zaobserwować.

Przekaż ifindex urządzenia wejściowego i domyślny identyfikator użytkownika w podobny sposób
moda na icmpv6_err(). W przeciwieństwie do IPv4, oif równe 0 nie pasuje do żadnego
nexthop w ip6_redirect_nh_match() i nie zostanie utworzony żaden wyjątek
odpowiedź na wiadomość przekierowania.

Należy pamiętać, że nie pozwala to atakującym na tworzenie wyjątków
nie można było wcześniej utworzyć, ponieważ oba pomocnicy są już dostępni za pomocą
niewielka lub żadna weryfikacja. Na przykład wysyłając błąd ICMPv6, który
cytuje odpowiedź echa ICMPv6 lub taką, która cytuje port źródłowy UDP
pasuje do gniazda z symbolem wieloznacznym.

Należy również pamiętać, że w dobrym przypadku (dopasowane gniazdo) pojawia się powyższy schemat
kosztem dodatkowego wyszukiwania tras, ponieważ wykonują to pomocnicy bez gniazd
własne wyszukiwanie przed tym wykonanym przez ip6_sk_update_pmtu() /
ip6_sk_redirect(). Kiedy obaj decydują się na różne kolejne skoki, to również
powoduje utworzenie dwóch wyjątków dla tego samego docelowego adresu IP. Jeden
w pamięci podręcznej wyjątków następnego skoku rozwiązanej przez pomocników no Socket
a drugi w pamięci podręcznej wyjątków następnego skoku używanego przez gniazdo.

In the Linux kernel, the following vulnerability has been resolved:

ipv6: udp: Create exceptions before socket matching

Currently, when ICMPv6 Packet Too Big and Redirect Message packets are
locally delivered and quote a UDP packet, an exception is only created
in the IPv6 exception cache if the kernel can match the UDP packet to an
existing socket.

This behavior allows off-path attackers to conduct a side-channel attack
on the exception cache in order to discover the ephemeral port used by a
connected UDP socket.

Commit 4785305c05b2 ("ipv6: use siphash in rt6_exception_hash()") and
commit a00df2caffed ("ipv6: make exception cache less predictible") tried
to mitigate such attacks by making it harder for attackers to discover
hash collisions in the exception cache and by randomizing the number of
exceptions a hash bucket can hold, respectively. Unfortunately, both of
the mitigations can be bypassed.

Instead, mitigate such attacks by always creating an exception, even
before trying to find a matching socket. Do that by calling
ip6_update_pmtu() and ip6_redirect(), the helpers used when the quoted
packet did not originate from a socket.

This means that guesses (right or wrong) from an off-path attacker will
always result in an exception being created or updated in the cache that
the attacker can observe.

Pass the ifindex of the ingress device and the default uid, in a similar
fashion to icmpv6_err(). Unlike IPv4, an oif of 0 would not match any
nexthop in ip6_redirect_nh_match() and no exception would be created in
response to a Redirect Message.

Note that this does not allow attackers to create exceptions that they
could not create before, as both helpers can already be reached with
little to no validation. For example, by sending an ICMPv6 error that
quotes an ICMPv6 Echo Reply or one that quotes a UDP source port that
matches a wildcard socket.

Also note that in the good case (matched socket) the above scheme comes
at the cost of an extra route lookup, as the no socket helpers perform
their own lookup before the one performed by ip6_sk_update_pmtu() /
ip6_sk_redirect(). When the two resolve to different nexthops, it also
results in two exceptions being created for the same destination IP. One
in the exception cache of the nexthop resolved by the no socket helpers
and another in the exception cache of the nexthop used by the socket.

>_ Referencje

Dane podatności pochodzą z oficjalnych źródeł (CVE® List / NVD). Opisy po polsku są tłumaczone automatycznie i mogą zawierać nieścisłości – na stronie rekordu można wyświetlić wersję angielską.

This product uses the NVD API but is not endorsed or certified by the NVD.

CVE Usage: MITRE hereby grants you a perpetual, worldwide, non-exclusive, no-charge, royalty-free, irrevocable copyright license to reproduce, prepare derivative works of, publicly display, publicly perform, sublicense, and distribute Common Vulnerabilities and Exposures (CVE®). Any copy you make for such purposes is authorized provided that you reproduce MITRE's copyright designation and this license in any such copy. ALL DOCUMENTS AND THE INFORMATION CONTAINED THEREIN PROVIDED BY MITRE ARE PROVIDED ON AN "AS IS" BASIS, WITHOUT WARRANTIES OR CONDITIONS OF ANY KIND.

NVD Terms of Use / CVE® Terms of Use / nvd.nist.gov / cve.org

<< baza_cve