Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-112112 Evasión de validación de IPv6 FlowSpec en CZ.NIC BIRD

Con la validación habilitada en el canal flow6 receptor, BIRD no rechaza un componente de prefijo destino con offset distinto de cero, contrario a la sección 5 del RFC 8956, y valida un prefijo reconstruido con bits omitidos en cero. Un par BGP establecido puede inyectar reglas FlowSpec que coincidan con destinos fuera del espacio autorizado y, si la política de exportación lo permite, propagarlas a pares posteriores, causando filtrado o redirección no autorizados de tráfico.

Alerta de Nureq Monitor

Detectada 18 OCT · 22:21

CVSS 4.0

2.3BAJA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

0,3 % PERCENTIL 22

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-112112

Con la validación habilitada en el canal flow6 receptor, BIRD no rechaza un componente de prefijo destino con offset distinto de cero, contrario a la sección 5 del RFC 8956, y valida un prefijo reconstruido con bits omitidos en cero. Un par BGP establecido puede inyectar reglas FlowSpec que coincidan con destinos fuera del espacio autorizado y, si la política de exportación lo permite, propagarlas a pares posteriores, causando filtrado o redirección no autorizados de tráfico.

Productos y versiones afectadas

  • nic BIRD

    • desde 2.0.9 hasta 2.20.0
    • desde 3.0.0 hasta 3.4.0

Qué hacer

  1. Verificá si usás BIRD y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 4.0 · 2.3 BAJA

CVSS:4.0/AV:N/AC:L/AT:P/PR:L/UI:N/VC:N/VI:L/VA:N/SC:N/SI:N/SA:N

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
REQUISITOS DEL ATAQUE (AT)
Presentes
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
CONFIDENCIALIDAD (SISTEMA VULNERABLE) (VC)
Ninguna
INTEGRIDAD (SISTEMA VULNERABLE) (VI)
Baja
DISPONIBILIDAD (SISTEMA VULNERABLE) (VA)
Ninguna
CONFIDENCIALIDAD (SISTEMAS POSTERIORES) (SC)
Ninguna
INTEGRIDAD (SISTEMAS POSTERIORES) (SI)
Ninguna
DISPONIBILIDAD (SISTEMAS POSTERIORES) (SA)
Ninguna

Abrir la calculadora completa

Descripción original

An IPv6 FlowSpec validation bypass in the CZ.NIC BIRD Internet Routing Daemon allows an established BGP peer to inject FlowSpec rules matching destinations outside the address space authorized by the unicast-route validation procedure. With validation enabled on the receiving flow6 channel, BIRD fails to reject a destination prefix component with a nonzero offset, contrary to RFC 8956 section 5. It validates a reconstructed prefix with zero-filled skipped bits, although the original FlowSpec component can match a broader set of IPv6 addresses. Given a suitable unicast route from the peer, the rule can pass validation and, where export policy permits, be propagated to downstream peers. Downstream enforcement may cause unauthorized traffic filtering or redirection.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.