Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - net/schedets从 ets_qdisc_change 中删除之前始终从活动列表中删除类 zdi-disclosures@trendmicro.com 称此漏洞为 `ets_qdisc_dequeue` 和 `ets_qdisc_change` 之间的争用条件。它会导致“struct Qdisc”对象上的 UAF。攻击者需要能够创建新用户和网络命名空间才能触发该缺陷。请参阅我在分析末尾的补充评论。Analysis static int ets_qdisc_change(struct Qdisc *sch, struct nlattr *opt, struct netlink_ext_ack *extack) { ... // (1) 此锁定阻止 .change 处理程序 (`ets_qdisc_change`) //与 .dequeue 处理程序争用(`ets_qdisc_dequeue`) sch_tree_lock(sch); for (i = nbands; i < oldbands; i++) {if (i >= q->nstrict && q->classes[i].qdisc->q.qlen) list_del_init(&q->classes[i].alist) ;
    qdisc_purge_queue(q->classes[i].qdisc); WRITE_ONCE(q->nbands, nbands); for (i = nstrict; i < q->nstrict;
    i++) { if (q->classes[i].qdisc->q.qlen) { // (2) 已将类添加到 q->active list_add_tail(&q->classes[i].alist, &q- >active); q->classes[i].deficit = quantuma[i]; } } WRITE_ONCE(q->nstrict, nstrict) memcpy(q->prio2band, priomap, sizeof(priomap)); for (i = 0; i < q->nbands; i++) WRITE_ONCE(q->classes[i].quantum, quantuma[i]); for (i = oldbands; i < q->nbands; i++) {q->classes[i].qdisc = queues[i]; if (q->classes[i].qdisc != &noop_qdisc) qdisc_hash_add(q->classes[i].qdisc, true); } // (3) qdisc 已解锁现在可与 // 与 .change 处理程序的其余部分并行调用出列 sch_tree_unlock(sch); ets_offload_change(sch); for (i = q->nbands; i < oldbands; i++) { //(4) 减少了类的 qdisc 的引用计数并 // 将其释放 qdisc_put(q->classes[i].qdisc); // (5) 如果在 (4) 和 (5) 之间调用 .dequeue // 将拥有强 UAF 并且可以控制 RIP q->classes[i].qdisc = NULL; WRITE_ONCE(q->classes[i].quantum, 0);
    q->classes[i].deficit = 0; gnet_stats_basic_sync_init(&q->classes[i].bstats);
    memset(&q->classes[i].qstats, 0, sizeof(q->classes[i].qstats)); return 0 } 注释：发生这种情况的原因是，某些类的 qdiscs 被分配为 NULL，但仍保留在活动列表中。此提交修复了此问题方法是始终将类从活动列表中删除然后再删除和释放其相关的 qdisc 复制程序步骤zdi-disclosures@trendmicro.com 发送的内容的修整版本`DEV=${DEV:-lo } ROOT_HANDLE=${ROOT_HANDLE:-1:} BAND2_HANDLE=${BAND2_HANDLE:-20:} 下的 # 1:2 PING_BYTES=${PING_BYTES:-48} PING_COUNT=${PING_COUNT:-200000} PING_DST=${PING_DST:-127.0.0.1} SLOW_TBF_RATE=${SLOW_TBF_RATE:-8bit} SLOW_TBF_BURST=${SLOW_TBF_BURST:-100b} SLOW_TBF_LAT= ${SLOW_TBF_LAT:-1s} cleanup() { tc qdisc del dev $DEV root 2>/dev/null } 陷阱清理 EXIT ip 链接设置 $DEV up tc qdisc del dev $DEV root 2>/dev/null || true tc qdisc add dev $DEV root handle $ROOT_HANDLE etsbands 2 strict 2 tc qdisc add dev $DEV parent 1:2 handle $BAND2_HANDLE \ tbf rate $SLOW_TBF_RATE burst $SLOW_TBF_BURST latency $SLOW_TBF_LAT tc filter add dev $DEV parent 1
    协议所有 prio 1 u32 匹配 u32 0 0 flowid 1:2 tc -s qdisc ls dev $DEV ping -I $DEV -f -c $PING_COUNT -s $PING_BYTES -W 0.001 $PING_DST \ >/dev/null 2>&1 & tc qdisc 更改 dev $DEV 根句柄 $ROOT_HANDLE etsbands 2 strict 0 tc qdisc 更改 dev $DEV 根句柄 $ROOT_HANDLE etsbands 2 strict 2 tc -s qdisc ls dev $DEV tc qdisc del dev $DEV parent ---truncated--- (CVE-2025-71066)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-71066

medium Nessus 插件 ID 283647

版本 1.6