CVE-2025-71160

Linux kernel içerisinde aşağıdaki güvenlik açığı giderilmiştir: netfilter: nf_tables: mümkünse zincir yeniden doğrulamasından kaçının Hamza Mahfooz, nft_chain_validate() fonksiyonunda cpu soft lock-up durumları raporlamıştır: watchdog: BUG: soft lockup - CPU#1 stuck for 27s! [iptables-nft-re:37547] [..] RIP: 0010:nft_chain_validate+0xcb/0x110 [nf_tables] [..] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_table_validate+0x6b/0xb0 [nf_tables] nf_tables_validate+0x8b/0xa0 [nf_tables] nf_tables_commit+0x1df/0x1eb0 [nf_tables] [..] Şu anda nf_tables, giriş noktalarından (base chains) başlayarak tüm tabloyu (zincir grafiği) gezer ve tüm olası yolları (zincir sıçramaları) inceler. Ancak yeniden doğrulamadan kaçınabileceğimiz durumlar mevcuttur. Şunu düşünün: 1 input -> j2 -> j3 2 input -> j2 -> j3 3 input -> j1 -> j2 -> j3 Bu durumda ikinci kuralın j2'yi ve dolayısıyla j3'ü yeniden doğrulamasına gerek yoktur çünkü bunlar ilk kuralın doğrulanması sırasında zaten kontrol edilmiştir. Bunu yalnızca 3. kural için doğrulamamız gerekir. Zincir döngü algılaması aynı zamanda sıçrama yığınının aşılmadığından emin olduğu için buna ihtiyaç duyulmaktadır: j2'nin döngüsüz olduğunu bilmemiz, son sıçramasının izin verilen yığın boyutunu aşmayacağı anlamına gelmez. Ayrıca erişilebilir tüm zincirleri gözlemlenen yeni en büyük çağrı derinliği ile güncellememiz gerekir. Zincir derinliğinin bir sorun olmayacağı durumlarda bile yeniden doğrulama yapılmasına dikkat edilmelidir: Zincir doğrulaması ayrıca ifadelerin geçersiz temel zincirlerden çağrılmadığını da sağlar. Örneğin, masquerade ifadesi yalnızca NAT postrouting temel zincirlerinden çağrılabilir. Bu nedenle, temel zincir bağlamının (type, hooknum) kaydını tutmamız ve zincirin farklı bir kanca konumundan erişilebilir hale gelmesi durumunda yeniden doğrulama yapmamız gerekmektedir.