Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilternf_tables可能な場合はチェーンの再検証を回避します Hamza Mahfooz が nft_chain_validate() の cpu ソフトロックアップを報告しますwatchdogBUGソフトロックアップ - CPU#1 27s のためのスタック[iptables-nft-re:37547] [..] RIP
    0010:nft_chain_validate+0xcb/0x110 [nf_tables] [..] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/ 0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [ nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_table_validate+0x6b/0xb0 [nf_tables] nf_tables_validate+0x8b/0xa0 [nf_tables] nf_tables_commit+0x1df/0x1eb0 [nf_tables] [..] 現在 nf_tables はテーブル全体をトラバースしますエントリポイント (ベースチェーン) から始まり、すべての可能性のあるパス (チェーンジャンプ) を探索するしかし、再検証を回避できる場合があります。
    考慮1 入力 -> j2 -> j3 2 入力 -> j2 -> j3 3 入力 -> j1 -> j2 -> j3 次に、2 番目のルールは j2 を再検証する必要はなく、拡張 j3 によって、これは既に実行されているためです。が最初のルールの検証中にチェックされたことを発見しました。ルール 3 に対してのみこれを検証する必要があります。これは、チェーンループ検出によって、ジャンプスタックを超えないことも保証されるためです。j2 がサイクルフリーであることを知っているだけで、その最後のジャンプは現在、許可されたスタックサイズを超える可能性があります。また、新たな最大の観察されたコール深度で、到達可能なすべてのチェーンを更新する必要もあります。チェーンの深さが問題にならない場合でも、再検証には注意が必要です。チェーン検証は無効なベースチェーンから式が呼び出されないようにします。例えば、masquerade 式は NAT ポストルーティングベースチェーンからのみ呼び出すことができます。そのため、ベースチェーンのコンテキストtype、hooknumの記録を保持し、チェーンが異なるフックロケーションから到達可能になった場合には再検証する必要もあります。CVE-2025-71160

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2025-71160

medium Nessus プラグイン ID 296412

バージョン 1.4