CVE-2021-47546: luka pamięci w jądrze Linux przy regułach IPv6 nftables

Co wiadomo

W jądrze Linux załatano lukę pamięci w funkcji fib6_rule_suppress, która występowała przy użyciu reguł IPv6 nftables z suppress_prefix w trasowaniu IPv6. Problem powodował wyciek pamięci w cache ip6_dst_cache dla każdego przychodzącego pakietu IPv6.

Wpływ biznesowy

Luka może prowadzić do stopniowego wycieku pamięci w systemach korzystających z określonych reguł nftables IPv6 i suppress_prefix w trasowaniu, co może obniżyć wydajność i stabilność serwerów. Operatorzy powinni zwrócić uwagę na konfiguracje firewalli IPv6 i monitorować zużycie pamięci w systemach produkcyjnych.

Rekomendowane działania administratora

Zaleca się przejrzenie i zastosowanie dostępnych aktualizacji jądra Linux, które rozwiązują problem. W przypadku braku natychmiastowej możliwości aktualizacji, warto ograniczyć ekspozycję reguł nftables IPv6 z suppress_prefix oraz monitorować zużycie pamięci i logi systemowe pod kątem anomalii. Priorytetowo należy wdrożyć poprawki dostarczone przez dystrybutora jądra.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference