CVE-2026-63913

Dans le noyau Linux, la vulnérabilité suivante a été résolue : netfilter : conntrack : tcp : ne pas forcer CLOSE sur un RST invalid-seq sans vérification de direction Un comportement involontaire dans la machine à états TCP conntrack permet de forcer une connexion à l'état CLOSE en utilisant un paquet RST avec un numéro de séquence invalide. Plus précisément, après l'observation d'un paquet SYN, un RST avec un SEQ invalide peut faire passer l'entrée conntrack à TCP_CONNTRACK_CLOSE, que le RST corresponde ou non à la direction de réponse attendue. Le chemin de code concerné suppose que le RST est une réponse à un SYN sortant, mais ne valide pas la direction du paquet ni ne garantit qu'un SYN correspondant a réellement été envoyé dans la direction opposée. En conséquence, une séquence de paquets forgée composée d'un SYN suivi d'un RST à séquence invalide peut mettre fin prématurément à une entrée NAT active. Cela rend la fermeture de connexion plus facile que prévu. Ainsi, resserrer la logique de transition d'état pour garantir que les transitions vers CLOSE déclenchées par RST ne se produisent que lorsque le RST est une réponse valide à un SYN précédemment observé dans la direction correcte.