CVE-2024-27415: уразливість ядра Linux у обробці мультикаст-пакетів на мостах

Що відомо

Виявлено уразливість у Linux kernel, пов’язану з некоректною обробкою мультикаст-пакетів у мережевому стеку bridge netfilter. Проблема виникає через гонку при підтвердженні з’єднань у conntrack, що може призвести до некоректної роботи NAT і фільтрації.

Бізнес-вплив

Для операторів ІТ та власників інфраструктури ця уразливість означає потенційні проблеми з маршрутизацією та обробкою мультикаст-трафіку на мостах, особливо при використанні macvlan. Це може вплинути на стабільність мережевих сервісів і безпеку, оскільки NAT та conntrack helpers можуть бути відключені для обходу проблеми.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень ядра Linux від постачальника та застосувати їх. Якщо оновлення недоступні, слід розглянути налаштування правил iptables/nftables для явного позначення мультикаст-трафіку як NOTRACK, щоб уникнути обробки conntrack. Також варто переглянути журнали мережевих подій і пріоритезувати оновлення систем, що використовують bridge netfilter з macvlan.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference