Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netdsaunbind で FDB、MDB、VLAN エントリをクリーンアップします コミット b117e1e8a86d などの多くの場所で説明されています netdsa dsa_legacy_fdb_add および dsa_legacy_fdb_del を削除します、 DSA は、より高いレイヤーが追加/削除のバランスが取れているという前提で記述されています。このため、過度に利用するのが意味があるのは、これらの前提が違反され、エントリがまだ存在する状態でドライバーがバインド解除される場合のみです。しかし、Ido Schimmel 氏は、それが間違っている非常に単純な状況を指摘しています。
    https://lore.kernel.org/netdev/ZDazSM5UsPPjQuKr@shredder/ 前述のコミットで、私も簡単に説明します。基本的に、ブリッジバイパスの操作は DSA によって明示的に文書化されるものではなく、大多数の DSA ドライバーに対してはこの API によってドライバーがプロミスキャスモードになります。これはすべてのドライバーでは該当しません。一部は、有用なものを実行するためにブリッジバイパス操作に必要な要件があります - dsa_switch_supports_uc_filtering() を参照してください。tools/testing/selftests/net/forwarding/local_termination.sh では、ユーザー空間から DSA インターフェイスのアドレスフィルターを管理するために、より優れたメカニズムを一般化するために取り組みました - unicast の場合は macvlan 、setsockopt(IP_ADD_MEMBERISHP) - mtools を通じて - ではマルチキャスト、実際には「bridge fdb add ...self static local」もカーネル UAPI として存在し、クイックハックのためのものであっても、誰かに役立つ可能性があります。
    ndo_dflt_fdb_add() および ndo_dflt_fdb_del() の実行を防ぐために、 -EOPNOTSUPP を返すだけの shim .ndo_fdb_add および .ndo_fdb_del 操作を実装してそのパスをブロックすることは、生産的なように見えますが、実行する可能性があります。クリーンアップが必要であることを受け入れるのが、唯一のオプションのようです。
    特に、弊社はこれを異なる見方で取り戻しているように見えるからです。Russell King は、WARN_ON() が VLAN もトリガーすることを通知しています
    https://lore.kernel.org/netdev/Z_li8Bj8bD4-BYKQ@shell.armlinux.org.uk/ 上記のバグレポートで発生していることは、dsa_port_do_vlan_del() が失敗し、VLAN エントリが停止し、バインド解除と漏洩について警告しています。これは、責任のあるコミットの直接の取り消しではありませんが、今ではカーネルログに情報の印刷を追加しバグが存在することを確認する方法がまだあります、またロジックを正当化するために過去数年間の経験から収集されたいくつかの余分のコメントを追加します。 。CVE-2025-37864

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-37864

medium Nessus プラグイン ID 245886

バージョン 1.10