Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - inetfrags刷新 fqdir_pre_exit() 中的待定 skb。在 NIPA 中自 9 月以来我们经常发现 pernet_ops_rwsem 上发生死锁。卡住的任务通常是尝试将锁定作为写入器的 modprobe通常加载 ipvlan 这样的驱动程序。 lockdep 不跟踪 rwsems 的阅读器因此报告中不明显读取。仔细检查发现持有锁定的 Reader 发现在 nf_conntrack_cleanup_net_list() 中永远处于 conntrack 循环。根据过去处理偶尔发生的 NIPA 崩溃的经验，我仔细查看了崩溃前运行的测试，发现崩溃遵循 ip_defrag.sh。即时的危险信号。彻底审查碎片化队列发现 skbs 闲置并持有 conntrack 引用。
    问题在于由于 conntrack 依赖 nf_defrag_ipv6因此将首先加载 nf_defrag_ipv6。由于 nf_defrag_ipv6 首先加载其 netns 退出挂钩会运行 _after_ conntrack 的 netns 退出挂钩。期间 fqdir_pre_exit() 刷新所有片段队列 SKB以在 conntrack 清理运行之前释放 conntrack 引用。
    当定时器到期处理程序发现 fqdir->dead 已设置时也要刷新其中的队列以防数据包在运行 pre_exit 刷新时潜入。问题的原因不完全是“修复”下的提交但我认为之前定时器触发最终会取消阻断旋转的 conntrack。 (CVE-2025-68768)

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-68768

medium Nessus 插件 ID 283657

版本 1.20