CVE-2025-21826

Description

In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: reject mismatching sum of field_len with set key length The field length description provides the length of each separated key field in the concatenation, each field gets rounded up to 32-bits to calculate the pipapo rule width from pipapo_init(). The set key length provides the total size of the key aligned to 32-bits. Register-based arithmetics still allows for combining mismatching set key length and field length description, eg. set key length 10 and field description [ 5, 4 ] leading to pipapo width of 12.

Gravité et risque d'exploitation

CVE-2025-21826 obtient un score CVSS de 7.8/10, soit une gravité élevée. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.20 %, ce qui la place devant 9.3 % des CVE référencées.

Que faire ?

• Vérifiez si Linux (versions <=6.1.*, ff67e3e488090908dc015ba04d7407d8bd467f7e, <=6.12.*, <82e491e085719068179ff6a5466b7387cc4bbf32, 5.15.148, 0, 2d4c0798a1ef8db15b3277697ac2def4eda42312, 6.6.14, 6.13.2, <49b7182b97bafbd5645414aff054b4a65d05823d, 6.8, <6.8, 6.1.75, <5.10.235, 6.14, <6b467c8feac759f4c5c86d708beca2aa2b29584f, <=5.10.*, <=6.6.*, <1b9335a8000fb70742f7db10af314104b6ace220, <6.6.76, 6.6.76, 6.1.129, <2ac254343d3cf228ae0738b2615fedf85d000752, 77be8c495a3f841e88b46508cc20d3d7d3289da3, <ab50d0eff4a939d20c37721fd9766347efcdb6f6, <5.15.179, 5.15.179, dc45bb00e66a33de1abb29e3d587880e1d4d9a7e, 6.7.2, 6.12.13, <=*, <6.1.129, <=5.15.*, 5.10.209, 5.10.235, <=6.13.*, 3ce67e3793f48c1b9635beb9bb71116ca1e51b58, <5083a7ae45003456c253e981b30a43f71230b4a3, 9cb084df01e198119de477ac691d682fb01e80f3) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://git.kernel.org/stable/c/6b467c8feac759f4c5c86d708beca2aa2b29584f
• https://git.kernel.org/stable/c/5083a7ae45003456c253e981b30a43f71230b4a3
• https://git.kernel.org/stable/c/2ac254343d3cf228ae0738b2615fedf85d000752
• https://git.kernel.org/stable/c/82e491e085719068179ff6a5466b7387cc4bbf32
• https://git.kernel.org/stable/c/49b7182b97bafbd5645414aff054b4a65d05823d
• https://git.kernel.org/stable/c/ab50d0eff4a939d20c37721fd9766347efcdb6f6
• https://git.kernel.org/stable/c/1b9335a8000fb70742f7db10af314104b6ace220