CVE-2026-72417

Description

In the Linux kernel, the following vulnerability has been resolved: netfilter: flowtable: Validate iph->ihl in nf_flow_ip4_tunnel_proto() Add sanity check for iph->ihl field in nf_flow_ip4_tunnel_proto() before using it to compute the header size, avoiding out-of-bounds access with malformed IP headers. While at it, use iph->protocol instead of the hardcoded IPPROTO_IPIP constant when setting ctx->tun.proto and reference ctx->tun.hdr_size when updating ctx->offset.

Gravité et risque d'exploitation

CVE-2026-72417 obtient un score CVSS de 9.8/10, soit une gravité critique. Selon le modèle EPSS, la probabilité qu'elle soit exploitée dans les 30 prochains jours est de 0.55 %, ce qui la place devant 45.1 % des CVE référencées.

Que faire ?

• Vérifiez si Linux (versions 7.1.5, <=*, <6.19, 6.19, ab427db17885814069bae891834f20842f0ac3a4, <025a41e76b51fbc7b8eaa5bacbaa9621d00e6aa7, 0, 7.2, <=7.1.*, <84460b644329e25809b4a6d9279d6359d7fd8ebc) est présent sur votre parc.
• Appliquez le correctif ou la version corrigée indiqués dans les références de l'éditeur.
• À défaut de correctif, limitez l'exposition (filtrage réseau, désactivation du composant).
• Automatisez la détection : les agents CVE Heimdall (gratuits, open source) corrèlent l'inventaire de vos serveurs avec la base CVE.

Références

• https://git.kernel.org/stable/c/025a41e76b51fbc7b8eaa5bacbaa9621d00e6aa7
• https://git.kernel.org/stable/c/84460b644329e25809b4a6d9279d6359d7fd8ebc