CVE-2026-63913

En el kernel de Linux, la siguiente vulnerabilidad ha sido resuelta: netfilter: conntrack: tcp: no forzar CLOSE con RST de seq no válida sin comprobación de dirección Un comportamiento no intencionado en la máquina de estados TCP de conntrack permite forzar una conexión al estado CLOSE utilizando un paquete RST con un número de secuencia no válido. En concreto, después de observarse un paquete SYN, un RST con un SEQ no válido puede hacer transitar la entrada conntrack a TCP_CONNTRACK_CLOSE, independientemente de si el RST corresponde a la dirección de respuesta esperada. La ruta de código pertinente asume que el RST es una respuesta a un SYN saliente, pero no valida la dirección del paquete ni garantiza que un SYN coincidente se haya enviado realmente en la dirección opuesta. Como resultado, una secuencia de paquetes manipulada consistente en un SYN seguido de un RST con secuencia no válida puede terminar prematuramente una entrada NAT activa. Esto facilita el cierre de la conexión más de lo previsto. Por tanto, reforzar la lógica de transición de estados para garantizar que las transiciones a CLOSE desencadenadas por RST solo se produzcan cuando el RST sea una respuesta válida a un SYN observado previamente en la dirección correcta.