Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilterbr_netfilter確認後 br_nf_local_in() の確認されたビットをチェックしません。ブロードキャストパケットをブリッジに追加されたテープデバイスに送信する際、br_nf_local_in() が conntrack を確認するために呼び出されます。同じハッシュ値を持つ別の conntrack がハッシュテーブルに追加されると、これは非ブリッジデバイスへの通常のパケットによって発生する可能性があり、以下の警告が発生する可能性があります。 ------------[ここで編集]---------------------- 警告CPU1 PID96 at net/bridge/br_netfilter_hooks.c:632 br_nf_local_in+0x168/ 0x200 CPU1 UID0 PID96 Commtap_send 汚染されない 6.17.0-rc2-dirty #44 PREEMPT任意 RIP
    0010:br_nf_local_in+0x168/0x200 Call Trace: <TASK> nf_hook_slow+0x3e/0xf0 br_pass_frame_up+0x103/0x180 br_handle_frame_finish+0x2de/0x5b0 br_nf_hook_thresh+0xc0/0x120 br_nf_pre_routing_finish+0x168/0x3a0 br_nf_pre_routing+0x237/0x5e0 br_handle_frame+0x1ec/0x3c0 __netif_receive_skb_core+0x225 /0x1210
    __netif_receive_skb_one_core+0x37/0xa0 netif_receive_skb+0x36/0x160 tun_get_user+0xa54/0x10c0 tun_chr_write_iter+0x65/0xb0 vfs_write+0x305/0x410 ksys_write+0x60/0xd0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> ---[ end trace 0000000000000000 ] --- ハッシュ競合を解決するために、nf_ct_resolve_clash() は conntracks をマージし、skb->_nfct を更新しようとします。しかし、br_nf_local_in()は、confirm()後にローカル変数「nfct」の古いcttを引き続き使用しているため、この警告を引き起こします。verify() が conntrack エントリを挿入せず、NF_DROP を返す場合も、警告が発生することがあります。
    WARN_ON_ONCE を予約する必要はなく、単に削除してください。CVE-2025-39894

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-39894

medium Nessus プラグイン ID 269669

バージョン 1.11