CVE-2025-38120
KrytyczneCVSS 9.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 35 - wyżej niż 35% wszystkich znanych CVE
Streszczenie
W jądrze Linux w module netfilter nf_set_pipapo_avx2 występuje błąd w inicjalizacji mapy startowej: jeśli pierwsze pole nie pokrywa całej mapy, pozostałe bity nie są zerowane, co powoduje wyciek tych bitów do następnej rundy dopasowania. Poprawka dla implementacji C była niekompletna.
Ocena ryzyka
Błąd może prowadzić do nieprawidłowego dopasowania reguł filtrowania pakietów, potencjalnie umożliwiając atakującemu ominięcie reguł i dostęp do nieautoryzowanych zasobów.
Rekomendacja
Zastosuj łatkę jądra Linux, która poprawnie zeruje pozostałe bity mapy startowej w implementacji AVX2 modułu nf_set_pipapo.
Oryginalny opis (angielski, źródło NVD)
In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_set_pipapo_avx2: fix initial map fill If the first field doesn't cover the entire start map, then we must zero out the remainder, else we leak those bits into the next match round map. The early fix was incomplete and did only fix up the generic C implementation. A followup patch adds a test case to nft_concat_range.sh.