CVE-2025-22021
Təsvir
Linux kernel-də aşağıdakı zəiflik aradan qaldırılıb: netfilter: socket: IPv6 SNAT üçün orijinal tuple-ın axtarışı nf_sk_lookup_slow_v4, düzgün socket-i (əgər varsa) tapa bilmək üçün SNAT halında orijinal 5-tuple-u bərpa etmək məqsədilə IPv4 paketləri üçün conntrack axtarışını həyata keçirir. Bundan sonra socket_match() socket-in şəffaf (transparent) olub-olmadığını düzgün şəkildə yoxlaya bilir. Lakin, IPv6 qarşılığı olan (nf_sk_lookup_slow_v6) bu conntrack axtarışına malik deyil, bu da paket SNAT edildikdə xt_socket-in socket ilə uyğunlaşmasının uğursuz olmasına səbəb olur. Eyni məntiq nf_sk_lookup_slow_v6 funksiyasına əlavə edildi. IPv6 SNAT, Kubernetes klasterlərində pod-to-world paketləri üçün istifadə olunur, çünki pod-ların ünvanları fd00::/8 ULA alt şəbəkəsindədir və onlar node-un xarici ünvanı ilə əvəz edilməlidir. Cilium, L7 siyasətlərini tətbiq etmək üçün Envoy-dən istifadə edir və Envoy şəffaf socket-lərdən istifadə edir. Cilium, `-m socket --transparent` parametri ilə uyğunlaşan və paketləri localhost-a yönləndirən bir iptables prerouting qaydası daxil edir, lakin həmin çatışmayan conntrack axtarışı səbəbindən SNAT edilmiş IPv6 paketləri ilə uyğunlaşma baş tutmur.
Necə düzəltmək olar
- linux linux_kernel5.4.292, 5.10.236, 5.15.180, 6.1.133, 6.6.86, 6.12.22, 6.13.10 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| linux linux_kernel | 3.13 ≤ v < 5.4.292, 5.5 ≤ v < 5.10.236, 5.11 ≤ v < 5.15.180, 5.16 ≤ v < 6.1.133, 6.2 ≤ v < 6.6.86, 6.7 ≤ v < 6.12.22, 6.13 ≤ v < 6.13.10, 6.14 | 5.4.292, 5.10.236, 5.15.180, 6.1.133, 6.6.86, 6.12.22, 6.13.10 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.