CVE-2026-31674
Descripción de la Vulnerabilidad
CVE-2026-31674 es una vulnerabilidad del kernel Linux relacionada con el módulo netfilter, específicamente con la implementación de reglas de filtrado de red en IPv6. La falla surge en la función rt_mt6_check(), donde se permite que un valor de addrnr (número de direcciones) exceda los límites definidos por el campo rtinfo->addrs[]. Esto podría permitir a un atacante causar una sobrescritura de memoria o un crasheo del sistema operativo.
La vulnerabilidad fue resuelta en la versión actualizada del kernel, validando el valor de addrnr durante la instalación de reglas de filtrado para rechazar configuraciones malformadas antes de su uso en la lógica de coincidencia.
Sistemas Afectados
La vulnerabilidad afecta a sistemas que utilicen la implementación del módulo netfilter de IPv6 en el kernel Linux. Específicamente, las versiones del kernel antes de la corrección incluyen la función ip6t_rt y su lógica de manejo de direcciones en reglas de filtrado.
Impacto y Explotabilidad
La vulnerabilidad tiene un score CVSS de 7.1 (alto), lo que indica un impacto significativo. Un atacante podría explotarla para causar:
- Crasheo del sistema: Si se logra un acceso no autorizado a memoria.
- Exploitation de código malicioso: En sistemas con configuraciones malformadas, aunque la corrección actual previene el uso de valores fuera de los límites.
La explotación requiere conocimiento técnico de cómo manipular reglas de filtrado en IPv6, pero no necesita privilegios de usuario elevados.
Indicadores de Compromiso (IOCs)
No hay Indicadores de Compromiso publicos disponibles.
Mitigación y Parches
La solución más efectiva es actualizar el kernel Linux a la versión corregida, donde se incluye la validación del parámetro addrnr durante la instalación de reglas. Los sistemas deben recibir las actualizaciones oficiales de los proveedores de software y distribuciones.
En caso de no poder actualizar inmediatamente, se recomienda:
- Revisar configuraciones de red para evitar reglas malformadas en IPv6.
- Aplicar parches manualmente si la actualización no es posible, aunque esto no es recomendable por riesgos de inestabilidad.