Linux/Unix 主机中安装的一个或多个程序包受到一个漏洞影响，而供应商没有提供补丁程序。

  - netfilter：nf_tables：尽可能避免链重新验证 Hamza Mahfooz 报告 nft_chain_validate（） 中的 cpu 软锁定：watchdog： 缺陷：软锁定 - CPU#1 卡住 27 秒！[iptables-nft-re：37547][..]RIP：
    0010：nft_chain_validate+0xcb/0x110 [nf_tables] [..] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_immediate_validate+0x36/0x50 [nf_tables] nft_chain_validate+0xc9/0x110 [nf_tables] nft_table_validate+0x6b/0xb0 [nf_tables] nf_tables_validate+0x8b/0xa0 [nf_tables] nf_tables_commit+0x1df/0x1eb0 [nf_tables] [..]目前nf_tables将遍历整个表（链图），从入口点（基础链）开始，探索所有可能的路径（链跳跃）。但在某些情况下，我们可以避免重新验证。
    考虑：1 输入 -> j2 -> j3 2 输入 -> j2 -> j3 3 输入 -> j1 -> j2 -> j3 然后第二条规则不需要重新验证 j2，并且通过扩展 j3，因为这在验证第一条规则期间已经进行了检查。我们只需要为规则 3 验证它。这是必需的，因为链循环检测还可以确保我们不会超过跳转堆栈：仅仅因为我们知道 j2 是无周期的，所以它的最后一次跳转现在可能会超过允许的堆栈大小。我们还需要使用新的观测到的最大调用深度更新所有可访问的链。即使链深度不是问题，也必须注意重新验证：链验证还确保表达式不会从无效的基础链中调用。例如，只能从 NAT 后路由基础链调用 masquerade 表达式。因此，我们还需要保留基本链上下文（type、hooknum）的记录，并重新验证该链是否可以从不同的钩子位置访问。（CVE-2025-71160）

请注意，Nessus 依赖供应商报告的程序包是否存在进行判断。

检测

Linux Distros 未修补的漏洞：CVE-2025-71160

medium Nessus 插件 ID 296412

版本 1.14