Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netfilterxtables在需要时避免 NFPROTO_UNSPECsyzbot 设法通过 ebtables 调用 xt_cluster 匹配警告CPU0 PID11 位于 net/netfilter/xt_cluster.c:72 xt_cluster_mt+0x196/0x780 [..] ebt_do_table+0x174b/0x2a40模块注册到 NFPROTO_UNSPEC但其假设正在处理 ipv4/ipv6 数据包。
    由于此项仅可用于限制本地终止 TCP/UDP 流量，因此仅为 ipv4 和 ipv6 系列注册此项。Pablo 指出这是一个普遍的问题，因为 set/getsockopt 接口的直接用户可能调用只与 ip(6) 表一起使用的目标/匹配。检查所有 UNSPEC 匹配和目标中的类似问题： - 匹配和目标正常，除非假设 skb_network_header() 有效 -- 仅当从 inet 层调用时才有效：ip(6) 堆栈将 ip/ipv6 标头提取到线性中数据区。 - 返回 XT_CONTINUE 或其他 xtables 判定的目标也必须受到限制，它们与 ebtables 遍历器不兼容，例如 EBT_CONTINUE 是与 XT_CONTINUE 完全不同的值。大多数 matches/target 都已更改为针对 NFPROTO_IPV4/IPV6 进行注册，因为其本身就为 ip(6)tables 所使用。MARK 目标也由 arptables 使用，因此也为 NFPROTO_ARP 注册。此时，如果 connbytes 无法启用相应的 conntrack 系列，则终止操作 。此变更通过 iptables.git 中的自我测试。 (CVE-2024-50038)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2024-50038

medium Nessus 插件 ID 230837

版本 1.7