CVE-2026-52999: Kernel Linux netfilter nfnetlink_osf: leitura fora dos limites na correspondência de opções TCP
O componente nfnetlink_osf do netfilter no kernel Linux apresenta uma leitura fora dos limites (CWE-125) durante a correspondência de opções TCP usadas em impressões digitais de sistema operacional. Um ponteiro de análise compartilhado não era restaurado entre as verificações, então as verificações seguintes podiam ler dados inválidos e falhar. A pontuação CVSS 3.1 fornecida pelo CNA é 9.1 (crítica), e o registro não indica inclusão no KEV nem exploração confirmada.
Visão geral
O registro descreve uma falha no componente nfnetlink_osf do netfilter do kernel Linux, que compara opções TCP com impressões digitais de sistema operacional. Um ponteiro de análise compartilhado é avançado durante a verificação de uma impressão digital e não é redefinido antes da verificação seguinte, o que causa uma leitura fora dos limites classificada como CWE-125. A correção upstream torna o ponteiro de análise local a cada travessia.
Impacto
O vetor CVSS 3.1 fornecido pelo CNA (CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H) indica exploração pela rede, baixa complexidade, sem necessidade de privilégios ou interação do usuário, com alto impacto na confidencialidade e na disponibilidade e sem impacto na integridade. A pontuação 9.1 é a única registrada. A descrição relata leituras de dados inválidos e registros falhos ou incorretos de correspondências, mas não descreve um efeito específico, como travamento ou vazamento de dados; por isso, o efeito concreto na prática é desconhecido a partir dos dados disponíveis.
Produtos e versões afetadas
O registro lista o produto como Linux Linux Kernel, com as seguintes faixas e versões:
- De 4.19.26 até antes de 4.20
- De 4.20.13 até antes de 5.0
- De 5.0.1 até antes de 5.10.258
- De 5.11 até antes de 5.15.209
- De 5.16 até antes de 6.1.175
- De 6.2 até antes de 6.6.141
- De 6.7 até antes de 6.12.91
- De 6.13 até antes de 6.18.33
- De 6.19 até antes de 7.0.10
- Versão 5.0, e os candidatos a lançamento 5.0-rc5, 5.0-rc6, 5.0-rc7 e 5.0-rc8
O registro não informa versões corrigidas explícitas. Os limites superiores das faixas sugerem as versões estáveis corrigidas, mas isso é uma inferência, e administradores devem confirmar com os commits e com as compilações de seus fornecedores ou distribuições.
Status de exploração
O registro não mostra inclusão no KEV e não há dados de EPSS. Não há exploração ativa confirmada nas fontes consultadas para esta análise.
Correção e mitigação
- Atualize para uma versão estável do kernel que inclua os commits upstream listados nas referências, escolhendo a branch estável correspondente à sua série.
- Verifique se a sua distribuição ou o fornecedor do dispositivo lançou um kernel com esses commits retroportados, pois as compilações de fornecedores podem usar números de versão diferentes.
- O registro referencia um aviso de segurança de produto da Siemens, mas o conteúdo não está incluído; consulte-o se você usar produtos Siemens afetados.
- O registro não documenta uma solução alternativa. Se o recurso de correspondência de impressões digitais de SO não for necessário, reduzir seu uso é uma medida geral de endurecimento, não uma mitigação verificada para esta falha.
Orientações de detecção
- Faça o inventário de sistemas com kernels nas faixas afetadas e compare-os com os avisos dos fornecedores.
- Identifique se a funcionalidade nfnetlink_osf está em uso em firewalls ou gateways, já que a falha está nesse caminho de código.
- Revise os registros de correspondências de impressões digitais de SO em busca de entradas ausentes, repetidas ou inconsistentes, que podem refletir o problema de registro descrito. Isso é uma inferência da descrição, não um indicador de comprometimento confirmado.
Limitações das informações disponíveis
O registro não traz detalhes de prova de conceito, dados de exploração, pontuação EPSS nem entrada no KEV. Não informa números de versão corrigidos explícitos, e a análise do NVD não está incluída. O título estava ausente no registro de origem e foi redigido para este portal. As consequências de segurança concretas além do vetor CVSS são desconhecidas.
Perguntas frequentes
Que tipo de vulnerabilidade é o CVE-2026-52999?
É uma leitura fora dos limites (CWE-125) no componente nfnetlink_osf do netfilter do kernel Linux, causada por um ponteiro de análise compartilhado que não é restaurado entre as verificações de impressões digitais de SO.
Há exploração ativa conhecida deste CVE?
Não. O registro não mostra inclusão no KEV, e não há exploração ativa confirmada nas fontes consultadas.
Como os administradores devem agir?
Atualize para um kernel estável ou uma compilação do fornecedor que inclua os commits upstream listados nas referências, e confirme a correção com os avisos da sua distribuição, pois o registro não informa versões corrigidas explícitas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.