Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilternft_ctnatted 接続に対して seqadj 拡張を追加します。PASV/EPSV モードでの FTP トラフィックにシーケンス調整が必要な場合があります。 ftp コントロール接続のパケットペイロードIP、ポートを書き換える必要があるため。これには、TCP の長さおよび期待される seq / ack_seq への変更が必要な場合があります。この問題を最も簡単に再現できる方法は、PASV モードを使用することです。ルールセットの例table inet ftp_nat { ct helper ftp_helper { type ftp protocol tcp l3proto inet } chain prerouting { type filter hook prerouting Priority 0;ポリシーの承諾tcp dport 21 ct state new ct helper set ftp_helper } } table ip nat { chain prerouting { type nat hook prerouting Priority -100;ポリシーの承諾tcp dport 21 dnat ip prefix to ip daddr map {192.168.100.1 : 192.168.13.2/32 } } chain postrouting { type nat hook postrouting Priority 100 ;ポリシーの承諾ip saddr マップに対する snat ip プレフィックス { 192.168.13.2 : 192.168.100.1/32 } } } dnat セットアップの *後* に、ftp ヘルパーが割り当てられます。逆参照ヘルパー割り当て後の natは nf_nat_setup_info() の既存チェックによって処理され、問題を表示しません。Topoloy+-------------------+ +------------------------------------- --------+ | FTP 192.168.13.2 | <-> | NAT 192.168.13.3、 192.168.100.1 | +-------------------------------- + ------------------------ -------+ | +---------------------------------+ |クライアント
    192.168.100.2 | +----------------------+ ftp nat の変更は、この場合に期待通りに動作しません 192.168.100.1に接続されています。 [..] ftp> IPv4 での epsv EPSV/EPRT をオフにします。 ftp> ls 227 パッシブモード入力192,168,100,1,209,129。 421 サービスが利用できません、リモートサーバーが接続を閉じました。カーネルログ
    nfct_seqadj_ext_add() セットアップコールの欠如 警告CPU: 1 PID: 0 at net/netfilter/nf_conntrack_seqadj.c:41 [..] __nf_nat_mangle_tcp_packet+0x100/0x160 [nf_nat] nf_nat_ftp+0x142/0x280x [nf_nat_ftp+08help+0808: nf_conntrack_ftp] nf_confirm+0x122/0x2e0 [nf_conntrack] nf_hook_slow+0x3c/0xb0 . nat バインディングを持つ接続に conntrack ヘルパーが割り当てられる際に、必要な拡張を追加することで、これを修正します。
    (CVE-2025-68206)

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-68206

high Nessus プラグイン ID 278910

バージョン 1.11