CVE-2023-49062
Publiée le 2023-11-28 · Dernière modification le 2026-06-17
Les instances Katran sont affectées par une fuite de mémoire qui permet à un attaquant de lire de petits fragments de mémoire non initialisée du noyau. En envoyant un trafic réseau spécifique, un attaquant distant peut déclencher la divulgation de ces données via les en-têtes IP, sans nécessiter d'authentification ni d'interaction de l'utilisateur. Bien que cela ne permette pas de prendre le contrôle direct du système, la mémoire divulguée pourrait potentiellement être utilisée pour contourner des mesures de sécurité ou collecter des informations sur l'hôte.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Katran could disclose non-initialized kernel memory as part of an IP header. The issue was present for IPv4 encapsulation and ICMP (v4) Too Big packet generation. After a bpf_xdp_adjust_head call, Katran code didn’t initialize the Identification field for the IPv4 header, resulting in writing content of kernel memory in that field of IP header. The issue affected all Katran versions prior to commit 6a03106ac1eab39d0303662963589ecb2374c97f