CVE-2026-4247 FreeBSD TCP DoS-Schwachstelle

CVE-2026-4247-Schwachstelle in FreeBSD: mbuf-Leck während der Verarbeitung von TCP-Challenge-ACKs

Das FreeBSD-Team hat am 26. März 2026 Details zu CVE-2026-4247 veröffentlicht – einer Schwachstelle, die remote DoS-Angriffe durch mbuf-Lecks in TCP-Verbindungen ermöglicht. Das Problem betrifft die Behandlung unerwarteter TCP-Segmente in etablierten Verbindungen.

Das TCP-Protokoll erzeugt Challenge ACKs, wenn unerwartete Pakete empfangen werden, um deren Legitimität zu überprüfen. Die Erzeugungsrate wird durch sysctl-Parameter begrenzt: net.inet.tcp.ack_war_timewindow (Standard 1000 ms) und net.inet.tcp.ack_war_cnt (5). Innerhalb dieses Intervalls werden nur die ersten 5 Pakete verarbeitet; der Rest wird ignoriert.

Die Funktion tcp_respond() in tcp_subr.c bildet den Challenge ACK und verbraucht einen mbuf. Wird der ACK nicht benötigt, wird der mbuf freigegeben. Ein Angreifer, der Pakete fälscht, löst für Pakete jenseits der Grenze einen mbuf-Verlust aus – einen pro Paket.

Alle FreeBSD-TCP-Stacks sind betroffen: der Basis-Stack, RACK, BBR. Der Basis-Stack sendet mehr ACKs und verstärkt dadurch den Effekt.

Angriffsvektoren und Ausnutzungsbedingungen

Angriffe sind unter diesen Bedingungen möglich:

• Positionierung auf dem Pfad einer TCP-Verbindung (MITM).
• Herstellung einer eigenen Verbindung zum Ziel.

Externe Angreifer müssen IP-Adressen, Ports und Sequenznummern für das Spoofing erraten. Die Erfolgsquote ist aufgrund der Komplexität gering.

Jedes gefälschte Paket über der Grenze (5/Sek.) verursacht ein mbuf-Leck, das den Pool erschöpft und DoS auslöst.

Temporäre Schutzmaßnahmen

Deaktivieren Sie die ACK-Ratenbegrenzung:

sysctl net.inet.tcp.ack_war_timewindow=0

Fügen Sie es zu /etc/sysctl.conf hinzu, um es dauerhaft zu machen.

Dies beseitigt das Leck, erhöht aber die CPU-Last durch die Verarbeitung aller Pakete.

Dauerhafter Fix und Branches

Aktualisieren Sie auf Branches mit Patches (Commits und Revisionen):

• stable/15/ 1fddb5435315 (stable/15-n282699)
• releng/15.0/ de9e5d82581e (releng/15.0-n281011)
• stable/14/ b45e7530ffb9 (stable/14-n273839)
• releng/14.4/ 44dd8b58394b (releng/14.4-n273676)
• releng/14.3/ a9cba5321021 (releng/14.3-n271476)

FreeBSD-Veröffentlichungszeitplan

FreeBSD 15.0 wurde am 2. Dezember 2025 veröffentlicht. Branch-Unterstützung verkürzt auf 4 Jahre, mit neuen Branches alle 2 Jahre. Zwischenreleases alle 6 Monate pro Branch, Gesamtzyklus – 3 Monate bei paralleler Entwicklung von zwei Branches.

FreeBSD 14.4 – 10. März 2026. Der 14.x-Branch ist der letzte für 32-Bit-Plattformen. FreeBSD 15+ ist rein 64-Bit, mit COMPAT_FREEBSD32 für Legacy-Anwendungen.

Wichtige Punkte

• Schwachstelle remote über TCP-Paket-Spoofing ausnutzbar, führt zu mbuf-Erschöpfung.
• Betroffen sind alle FreeBSD-TCP-Stacks; Standard-ACK-Begrenzung verstärkt das Leck.
• Temporärer Fix: sysctl net.inet.tcp.ack_war_timewindow=0 (gegenüber CPU-Nutzung eingetauscht).
• Patches in stable/15, releng/15.0, stable/14 und releng/14.x.
• FreeBSD 14.x markiert das Ende der 32-Bit-Unterstützung; Migration zu 64-Bit.

— Editorial Team