CVE-2025-68206

Linux kernel'da aşağıdaki güvenlik açığı giderilmiştir: netfilter: nft_ct: natted bağlantılar için seqadj uzantısı eklendi FTP kontrol bağlantısındaki paket yükünün (IP, port) yeniden yazılması gereksinimi nedeniyle, PASV/EPSV modlarındaki FTP trafiği için sıra numarası düzenlemesi (sequence adjustment) gerekebilir. Bu durum, TCP uzunluğunda ve beklenen seq / ack_seq değerlerinde değişiklikler gerektirebilir. Bu sorunu yeniden üretmenin en kolay yolu PASV modudur. Örnek kurallar dizisi: table inet ftp_nat { ct helper ftp_helper { type "ftp" protocol tcp l3proto inet } chain prerouting { type filter hook prerouting priority 0; policy accept; tcp dport 21 ct state new ct helper set "ftp_helper" } } table ip nat { chain prerouting { type nat hook prerouting priority -100; policy accept; tcp dport 21 dnat ip prefix to ip daddr map { 192.168.100.1 : 192.168.13.2/32 } } chain postrouting { type nat hook postrouting priority 100 ; policy accept; tcp sport 21 snat ip prefix to ip saddr map { 192.168.13.2 : 192.168.100.1/32 } } } ftp helper'ın dnat kurulumundan *sonra* atandığına dikkat edin. Tersi durum (helper atamasından sonra nat), nf_nat_setup_info() içindeki mevcut bir denetim tarafından yönetilir ve bu sorun ortaya çıkmaz. Topoloji: +-------------------+ +----------------------------------+ | FTP: 192.168.13.2 | <-> | NAT: 192.168.13.3, 192.168.100.1 | +-------------------+ +----------------------------------+ | +-----------------------+ | Client: 192.168.100.2 | +-----------------------+ Bu durumda ftp nat değişiklikleri beklendiği gibi çalışmamaktadır: Connected to 192.168.100.1. [..] ftp> epsv EPSV/EPRT on IPv4 off. ftp> ls 227 Entering passive mode (192,168,100,1,209,129). 421 Service not available, remote server has closed connection. Çekirdek günlükleri: Missing nfct_seqadj_ext_add() setup call WARNING: CPU: 1 PID: 0 at net/netfilter/nf_conntrack_seqadj.c:41 [..] __nf_nat_mangle_tcp_packet+0x100/0x160 [nf_nat] nf_nat_ftp+0x142/0x280 [nf_nat_ftp] help+0x4d1/0x880 [nf_conntrack_ftp] nf_confirm+0x122/0x2e0 [nf_conntrack] nf_hook_slow+0x3c/0xb0 .. Bir conntrack helper'ı, nat bağlamasına sahip bir bağlantıya atandığında gerekli uzantının eklenmesiyle bu sorun düzeltilmiştir.