CVE-2026-53002: Escrita fora de limites em conntrack do netfilter no kernel Linux
Uma falha corrigida no conntrack do netfilter do kernel Linux permite escrita fora de limites (CWE-787) durante o processamento de SDP pelo helper SIP usado em NAT, conforme relatado pelo KASAN. A CNA atribui pontuação 9.8 (Crítica) no CVSS 3.1, e o registro aponta oito patches em ramos estáveis. Nenhuma exploração ativa confirmada aparece nas fontes consultadas, e a falha não consta no catálogo KEV da CISA.
Visão geral
A correção desta CVE no kernel Linux substitui uma chamada a sprintf no conntrack do netfilter por scnprintf e amplia um buffer em mangle_content_len(). O texto do commit afirma que os buffers devem ser grandes o suficiente para o resultado. O relatório KASAN citado no registro descreve uma escrita fora de limites na pilha, alcançada pelo processamento de mensagens SIP INVITE e pelo tratamento de NAT de sessões SDP. Veja a entrada no NVD e o registro na CVE.
Impacto
- O registro classifica a fraqueza como CWE-787 (Escrita fora dos limites).
- A pontuação CVSS 3.1 atribuída pela CNA é 9.8 (Crítica), com o vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, que indica um problema acessível pela rede, sem necessidade de privilégios nem interação do usuário, com alto impacto em confidencialidade, integridade e disponibilidade.
- Um segundo provedor de pontuação listado no registro atribui CVSS 3.1 de valor 7.
- As fontes não descrevem a consequência concreta além do problema de segurança de memória, portanto o resultado prático em cada ambiente é desconhecido.
Produtos e versões afetados
O registro lista as seguintes faixas do kernel Linux: de 2.6.20 até antes de 5.10.258; de 5.11 até antes de 5.15.209; de 5.16 até antes de 6.1.175; de 6.2 até antes de 6.6.141; de 6.7 até antes de 6.12.91; de 6.13 até antes de 6.18.33; e de 6.19 até antes de 7.0.10.
O registro também lista entradas do Red Hat Enterprise Linux nas versões 7.0, 8.0, 9.0 e 10.0. Ele não informa quais builds de pacote RHEL são afetados ou corrigidos, por isso administradores devem consultar os errata Red Hat vinculados e a página de CVE da Red Hat para o status exato de cada build.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada na natureza aparece nas fontes consultadas para esta análise.
Correção e mitigação
- Aplique a atualização do kernel fornecida pela sua distribuição ou pelo ramo estável que contém a correção upstream. O registro vincula os commits upstream, por exemplo o commit a8e0a32a.
- Em sistemas Red Hat, revise os errata referenciados no registro e aplique o que corresponder à sua versão.
- Quando a aplicação for adiada, reduza a exposição limitando o uso do helper de rastreamento de conexões SIP do netfilter apenas aos sistemas que realmente precisam dele. O registro não descreve uma solução paliativa específica validada pelo fornecedor, portanto isso é uma inferência e não uma mitigação documentada.
Orientações de detecção
- Monitore as versões de pacotes do kernel em relação às faixas acima e sinalize hosts com builds anteriores.
- Acompanhe logs do kernel e do sistema em busca de relatórios de segurança de memória, como alertas KASAN, em hosts que executam o tratamento SIP do netfilter. O registro mostra um relatório desse tipo, mas não define um indicador de comprometimento confiável.
- Revise dispositivos de borda e de NAT com Linux para identificar tráfego SIP inesperado tratado por helpers de rastreamento de conexões.
Limitações das informações disponíveis
- O registro não traz detalhes públicos de prova de conceito, cronologia de exploração nem métricas de explorabilidade do CVSS além da string de vetor.
- O valor EPSS e os dados SSVC não constam no registro, portanto a probabilidade de exploração é desconhecida.
- O provedor da segunda pontuação CVSS de valor 7 não é identificado no registro.
- Se um build de distribuição contém a correção depende do empacotamento, o que o registro não documenta completamente.
Perguntas frequentes
Qual é o problema central desta CVE?
O registro descreve uma escrita fora dos limites da pilha no código de conntrack do netfilter do kernel Linux, alcançada pelo processamento de SIP e SDP usado em NAT. A correção upstream substitui sprintf por scnprintf e amplia um buffer.
Qual a gravidade segundo o registro?
A CNA atribui CVSS 3.1 de 9.8 (Crítica), com vetor de rede e sem necessidade de privilégios ou interação do usuário. Um segundo provedor listado no registro atribui CVSS 3.1 de valor 7.
Há exploração ativa conhecida?
Não. O registro indica que a CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os administradores devem fazer primeiro?
Verifique as versões de kernel e de pacotes RHEL em relação às faixas afetadas do registro e aplique a atualização do fornecedor que contém a correção upstream. Se a aplicação for adiada, limite o uso do helper SIP apenas aos sistemas que precisam dele.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.