CVE-2026-64007: Use-after-free no synproxy do netfilter do kernel Linux no tratamento de timestamp TCP
Um use-after-free no código synproxy do netfilter do kernel Linux pode corromper memória liberada ou enviar pacotes com checksum que não corresponde ao payload. O registro classifica como crítica, com pontuação CVSS de 9,8, e lista correções em vários ramos estáveis. O KEV não a lista e as fontes consultadas não mostram exploração confirmada.
Visão geral
A CVE-2026-64007 é um use-after-free no código synproxy do netfilter do kernel Linux, classificada como CWE-416 (Use After Free). O problema surge quando a opção de timestamp TCP é ajustada depois que um ponteiro de cabeçalho TCP em cache ficou obsoleto. O kernel corrigiu isso re-derivando o ponteiro do cabeçalho a partir dos dados do pacote após a verificação de gravabilidade. O registro NVD está em registro NVD e o índice do aviso em aviso GitHub.
Impacto
- O registro descreve dois desfechos possíveis: uma escrita em memória liberada ou um pacote enviado com checksum que não corresponde ao seu payload.
- O registro informa pontuação CVSS de 9,8, com severidade crítica, e descreve o impacto técnico como total no SSVC.
- O registro não detalha impactos de confidencialidade, integridade ou disponibilidade além da pontuação CVSS, por isso as consequências precisas em cada ambiente são desconhecidas.
Produtos e versões afetadas
O registro lista o kernel Linux com as seguintes faixas, expressas por seus extremos de versão:
- De 3.12 até antes de 5.10.259.
- De 5.11 até antes de 5.15.210.
- De 5.16 até antes de 6.1.176.
- De 6.2 até antes de 6.6.143.
- De 6.7 até antes de 6.12.93.
- De 6.13 até antes de 6.18.35.
- De 6.19 até antes de 7.0.12.
- Os candidatos de desenvolvimento 7.1-rc1, 7.1-rc2, 7.1-rc3, 7.1-rc4 e 7.1-rc5 também aparecem listados.
A entrada separada do produto Linux expressa suas faixas com identificadores de commit, e não com strings de versão, por isso esta análise não as converte em números de versão. Consulte as listas de patches estáveis do ramo que você usa, por exemplo o exemplo de patch estável.
Status de exploração
O catálogo KEV não lista esta CVE, portanto essa fonte não confirma exploração ativa. O registro EPSS indica probabilidade de 0,00514 com percentil de 0,42964 (data 2026-10-23). O registro SSVC mostra exploração como none e automatizável como yes. Nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o kernel Linux para uma versão estável que inclua a correção upstream, usando as faixas acima como guia para o seu ramo.
- Priorize sistemas que processam tráfego de rede por regras de synproxy do netfilter, já que são esses os caminhos de código envolvidos.
- Acompanhe os avisos do fornecedor e da distribuição para pacotes com backport, pois kernels de distribuição podem trazer a correção sob outra string de versão.
Orientação para detecção
- Revise logs do kernel e relatórios de falhas em busca de corrupção de memória ou erros de slab durante o processamento do netfilter.
- Monitore falhas inesperadas de checksum TCP em conexões que passam por caminhos protegidos por synproxy.
- Confirme a versão do kernel em execução contra as faixas afetadas e os dados dos ramos estáveis antes de presumir exposição.
Limitações das informações disponíveis
- O registro não informa uma única versão corrigida para todos os ramos; as correções aparecem como patches baseados em commits.
- O registro não descreve em detalhe uma prova de conceito nem a condição de disparo, por isso a explorabilidade em ambientes reais é desconhecida.
- O registro traz pontuação CVSS crítica, mas as fontes consultadas não explicam como essa pontuação se aplica a um ambiente específico.
Perguntas frequentes
O que é a CVE-2026-64007?
É um use-after-free no código synproxy do netfilter do kernel Linux, em que um ponteiro de cabeçalho TCP em cache fica obsoleto após uma realocação de buffer.
Há exploração conhecida desta CVE?
Ela não está no catálogo KEV da CISA, e as fontes consultadas não mostram exploração confirmada. O registro SSVC indica exploração como none.
Como corrigir?
Atualize o kernel Linux para uma versão estável que contenha a correção upstream do seu ramo e verifique os avisos da sua distribuição para pacotes com backport.
Qual é a severidade?
O registro informa pontuação CVSS de 9,8, com severidade crítica.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.