This is actually the last very scattered set, that changes many calls
to MIB accounting macros. What is left requires less patching.
David, I hope this (and a finalizing set, I will prepare after this
one is accepted) can go to current 2.6.27 merge window, but it is OK
with me if your decision is to delay this till 2.6.28.
La faille de sécurité corrigée le 30 novembre 2009 concerne le compteur d'erreur sur le réassemblage des paquets IPv4, mais un bug simailaire avait été corrigé le 19 mars 2009 sur le compteur de succès : http://git.kernel.org/?p=linux/kernel/git/davem/net-2.6.git;(...)
dev can be NULL in ip[6]_frag_reasm for skb's coming from RAW sockets.
Quagga's OSPFD sends fragmented packets on a RAW socket, when netfilter
conntrack reassembles them on the OUTPUT path you hit this code path.
You can test it with something like "hping2 -0 -d 2000 -f AA.BB.CC.DD"
# Complément d'informations
Posté par Victor STINNER (site web personnel) . En réponse au journal Faille de sécurité distante (IPv4) dans les noyaux Linux 2.6.28.10/2.6.29 <= version <= 2.6.32-rc8. Évalué à 10.
http://git.kernel.org/?p=linux/kernel/git/davem/net-2.6.git;(...)
Ce commit fait partie d'une série de commits visant l'IP accounting, utilisé par exemple dans OpenVZ :
http://kerneltrap.org/mailarchive/linux-netdev/2008/7/16/252(...)
This is actually the last very scattered set, that changes many calls
to MIB accounting macros. What is left requires less patching.
David, I hope this (and a finalizing set, I will prepare after this
one is accepted) can go to current 2.6.27 merge window, but it is OK
with me if your decision is to delay this till 2.6.28.
Lire aussi : http://wiki.openvz.org/Traffic_accounting_with_iptables
--
La faille de sécurité corrigée le 30 novembre 2009 concerne le compteur d'erreur sur le réassemblage des paquets IPv4, mais un bug simailaire avait été corrigé le 19 mars 2009 sur le compteur de succès :
http://git.kernel.org/?p=linux/kernel/git/davem/net-2.6.git;(...)
dev can be NULL in ip[6]_frag_reasm for skb's coming from RAW sockets.
Quagga's OSPFD sends fragmented packets on a RAW socket, when netfilter
conntrack reassembles them on the OUTPUT path you hit this code path.
You can test it with something like "hping2 -0 -d 2000 -f AA.BB.CC.DD"