CVE-2026-4748
Publiée le 2026-04-01 · Dernière modification le 2026-06-17
Le pare-feu `pf` d'OpenBSD est affecté si vous utilisez la syntaxe spécifique `x.x.x.x - y.y.y.y` pour les plages d'adresses dans vos règles. Comme le système identifie par erreur des plages similaires comme étant des doublons, il peut ignorer silencieusement certaines règles, laissant potentiellement votre système exposé à des accès réseau non autorisés. Un attaquant distant non authentifié peut exploiter cette mauvaise configuration simplement en envoyant du trafic qui aurait dû être bloqué, mais qui a été ignoré par le pare-feu lors du chargement.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
A regression in the way hashes were calculated caused rules containing the address range syntax (x.x.x.x - y.y.y.y) that only differ in the address range(s) involved to be silently dropped as duplicates. Only the first of such rules is actually loaded into pf. Ranges expressed using the address[/mask-bits] syntax were not affected. Some keywords representing actions taken on a packet-matching rule, such as 'log', 'return tll', or 'dnpipe', may suffer from the same issue. It is unlikely that users have such configurations, as these rules would always be redundant. Affected rules are silently ignored, which can lead to unexpected behaviour including over- and underblocking.