CVE-2025-39894 in Linux
Sumário
de VulDB • 11/05/2026
No kernel do Linux, a seguinte vulnerabilidade foi resolvida:
netfilter: br_netfilter: não verificar o bit de confirmado em br_nf_local_in() após a confirmação
Ao enviar um pacote de broadcast para um dispositivo tap, que foi adicionado a uma bridge, br_nf_local_in() é chamado para confirmar o conntrack. Se outro conntrack com o mesmo valor de hash for adicionado à tabela de hash, o que pode ser acionado por um pacote normal para um dispositivo não-bridge, o aviso abaixo pode ocorrer.
------------[ corte aqui ]-----
WARNING: CPU: 1 PID: 96 em net/bridge/br_netfilter_hooks.c:632 br_nf_local_in+0x168/0x200 CPU: 1 UID: 0 PID: 96 Comm: tap_send Não contaminado 6.17.0-rc2-dirty #44 PREEMPT(voluntário) RIP: 0010:br_nf_local_in+0x168/0x200 Rastreamento de Chamada: <TAREFA> nf_hook_slow+0x3e/0xf0 br_pass_frame_up+0x103/0x180 br_handle_frame_finish+0x2de/0x5b0 br_nf_hook_thresh+0xc0/0x120 br_nf_pre_routing_finish+0x168/0x3a0 br_nf_pre_routing+0x237/0x5e0 br_handle_frame+0x1ec/0x3c0 __netif_receive_skb_core+0x225/0x1210 __netif_receive_skb_one_core+0x37/0xa0 netif_receive_skb+0x36/0x160 tun_get_user+0xa54/0x10c0 tun_chr_write_iter+0x65/0xb0 vfs_write+0x305/0x410 ksys_write+0x60/0xd0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TAREFA> ---[ fim do rastreamento 0000000000000000 ]---
Para resolver o conflito de hash, nf_ct_resolve_clash() tenta mesclar os conntracks e atualizar skb->_nfct. No entanto, br_nf_local_in() ainda usa o ct antigo da variável local 'nfct' após confirm(), o que leva a este aviso.
Se confirm() não inserir a entrada do conntrack e retornar NF_DROP, o aviso também pode ocorrer. Não há necessidade de manter o WARN_ON_ONCE, basta removê-lo.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.