CVE-2025-22021: netfilter: socket: Lookup orig tuple for IPv6 SNAT
Noroxi değerlendirmesi
Öncelik: İzleyin (aksiyon skoru 22/100)
- İzlediğimiz kaynaklarda (CISA KEV, Exploit-DB, Metasploit, Nuclei, GitHub) herkese açık istismar kodu ya da sahada sömürü kaydı yok.
- Önümüzdeki 30 günde sömürülme olasılığı %0,47 (FIRST EPSS).
- Sisteme yerel erişimi olan biri tetikleyebilir. Düşük yetkili bir hesap yeterli. Kullanıcının bir şey yapması gerekmez. Özel bir koşul gerekmez; tekrarlanabilir.
- CISA'ya göre saldırı otomatikleştirilebilir: toplu taramalarla hedef bulunabilir.
- Düzeltilmiş sürüm: Linux Linux 1ca2169cc19dca893c7aae6af122852097435d16, 1ec43100f7123010730b7ddfc3d5c2eac19e70e7, 221c27259324ec1404f028d4f5a0f2ae7f63ee23.
- Önem derecesi tartışmalı: kaydı açan kurum (CNA) 10.0, NVD 5.5 puan veriyor.
Şimdilik düşük öncelik. Linux Linux 1ca2169cc19dca893c7aae6af122852097435d16, 1ec43100f7123010730b7ddfc3d5c2eac19e70e7, 221c27259324ec1404f028d4f5a0f2ae7f63ee23 ya da daha yeni sürüme yükseltin.
Kaydın verisinden otomatik üretilir: CVSS (NVD ve CNA), CISA KEV ve SSVC, FIRST EPSS, istismar kaynakları, düzeltme sürümleri. Nasıl hesaplıyoruz
Birincil kaynaklar: NVD · CVE.org · FIRST EPSS
In the Linux kernel, the following vulnerability has been resolved: netfilter: socket: Lookup orig tuple for IPv6 SNAT nf_sk_lookup_slow_v4 does the conntrack lookup for IPv4 packets to restore the original 5-tuple in case of SNAT, to be able to find the right socket (if any). Then socket_match() can correctly check whether the socket was transparent. However, the IPv6 counterpart (nf_sk_lookup_slow_v6) lacks this conntrack lookup, making xt_socket fail to match on the socket when the packet was SNATed. Add the same logic to nf_sk_lookup_slow_v6. IPv6 SNAT is used in Kubernetes clusters for pod-to-world packets, as pods' addresses are in the fd00::/8 ULA subnet and need to be replaced with the node's external address. Cilium leverages Envoy to enforce L7 policies, and Envoy uses transparent sockets. Cilium inserts an iptables prerouting rule that matches on `-m socket --transparent` and redirects the packets to localhost, but it fails to match SNATed IPv6 packets due to that missing conntrack lookup.
- Yayın
- 16 Nis 2025
- Güncelleme
- 15 Eki 2026
- EPSS
- %0,4 · 40. yüzdelik
- CWE
- —
Rapor araçları
Aksiyon skoru
22
İzleyin
Şimdilik düşük öncelik.
- CVSS
- 22 / 40 · 5.5 / 10
- CISA KEV
- 0 / 30 · Listede değil
- EPSS
- 0 / 30 · %0,4
CISA SSVC kararı
- Sömürü
- yok
- Otomatikleştirilebilir
- evet
- Teknik etki
- tam
Vulnrichment: CISA'nın karar ağacı girdileri.
CNA ile NVD puanı
- NVD
- 5,5
- CNA · Linux
- 10,0
- 4,5 puan fark
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Kaydı açan otoritenin puanı ile NVD’nin bağımsız puanı. İki puan arasındaki fark ciddiyetin tartışmalı olduğunu gösterir.
Bu kayıt değişirse haber alın
- KEV'de değil: sahada sömürü kaydı yok
- Herkese açık istismar kodu kaydı yok
- Düzeltme yayımlandı
Bunlardan biri değişirse günlük e-posta özetinde haber veririz.
WordPress siteniz mi var? WP Lens ile ücretsiz tarayın
Noroxi analizi
Sizin ortamınızda ne anlama geliyor?
Yukarıdaki değerlendirme kaydın verisinden otomatik üretilir; ortamınızı bilmez. Bu açığın sizde gerçekten sömürülebilir olup olmadığını ve hangi önlemin yeteceğini ekibimiz sizin sistemlerinizde doğrular.
Bu ürünü kullanıyoruz, yardım isteyinEtkilenen sistemler
Sürümünüz etkileniyor mu?
Ürünü seçip kullandığınız sürümü yazın. Bu kaydın sürüm aralıklarıyla tarayıcınızda karşılaştırılır; sürüm hiçbir yere gönderilmez.
| Üretici | Ürün | CPE |
|---|---|---|
| linux | linux kernel | cpe:2.3:o:linux:linux_kernel |
Etkilenen sürümler
NVD sürüm aralıkları (katalogdaki ürünler için). Stack’inize sürümle eklerseniz eşleşme bunlarla yapılır.
- linux linux kernel3.13 ve sonrası · 5.4.292 öncesi
- linux linux kernel5.5 ve sonrası · 5.10.236 öncesi
- linux linux kernel5.11 ve sonrası · 5.15.180 öncesi
- linux linux kernel5.16 ve sonrası · 6.1.133 öncesi
- linux linux kernel6.2 ve sonrası · 6.6.86 öncesi
- linux linux kernel6.7 ve sonrası · 6.12.22 öncesi
- linux linux kernel6.13 ve sonrası · 6.13.10 öncesi
- linux linux kernel6.14
Üreticinin bildirdiği sürümler
Kaydı açan otorite (Linux) tarafından bildirilen etkilenen sürüm aralıkları. NVD'nin CPE analizinden bağımsızdır ve genellikle ondan önce gelir.
Linux Linux
- 3.13etkilenir
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 6488b96a79a26e19100ad872622f04e93b638d7f öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 58ab63d3ded2ca6141357a2b24eee8453d0f871d öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 1ca2169cc19dca893c7aae6af122852097435d16 öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 1ec43100f7123010730b7ddfc3d5c2eac19e70e7 öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 5251041573850e5020cd447374e23010be698898 öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 2bb139e483f8cbe488d19d8c1135ac3615e2668c öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 41904cbb343d115931d6bf79aa2c815cac4ef72b öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 221c27259324ec1404f028d4f5a0f2ae7f63ee23 öncesietkilenir · git
- eb31628e37a0a4e01fffd79dcc7f815d2357f53a ve sonrası · 932b32ffd7604fb00b5c57e239a3cc4d901ccf6e öncesietkilenir · git
Paket düzeyi etkilenme
OSV ve GitHub Advisory verisi: ekosistem, paket ve aralık. SBOM eşleşmesi bu tabloyu kullanır.
| Ekosistem | Paket | Etkilenen aralık | Düzeltme |
|---|---|---|---|
| Debian:12 | linux | 6.1.133-1 öncesi | 6.1.133-1 |
| Debian:13 | linux | 6.12.22-1 öncesi | 6.12.22-1 |
| openSUSE:Leap 15.6 | dtb-aarch64 | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-64kb | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-azure | 6.4.0-150600.8.40.1 öncesi | 6.4.0-150600.8.40.1 |
| openSUSE:Leap 15.6 | kernel-debug | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-default | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-default-base | 6.4.0-150600.23.53.1.150600.12.24.1 öncesi | 6.4.0-150600.23.53.1.150600.12.24.1 |
| openSUSE:Leap 15.6 | kernel-docs | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-kvmsmall | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-obs-build | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-obs-qa | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-source | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-source-azure | 6.4.0-150600.8.40.1 öncesi | 6.4.0-150600.8.40.1 |
| openSUSE:Leap 15.6 | kernel-syms | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| openSUSE:Leap 15.6 | kernel-syms-azure | 6.4.0-150600.8.40.1 öncesi | 6.4.0-150600.8.40.1 |
| openSUSE:Leap 15.6 | kernel-zfcpdump | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| SUSE:Linux Enterprise Live Patching 15 SP6 | kernel-livepatch-SLE15-SP6_Update_12 | 1-150600.13.3.1 öncesi | 1-150600.13.3.1 |
| SUSE:Linux Enterprise Module for Basesystem 15 SP6 | kernel-64kb | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| SUSE:Linux Enterprise Module for Basesystem 15 SP6 | kernel-default | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| SUSE:Linux Enterprise Module for Basesystem 15 SP6 | kernel-default-base | 6.4.0-150600.23.53.1.150600.12.24.1 öncesi | 6.4.0-150600.23.53.1.150600.12.24.1 |
| SUSE:Linux Enterprise Module for Basesystem 15 SP6 | kernel-source | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| SUSE:Linux Enterprise Module for Basesystem 15 SP6 | kernel-zfcpdump | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
| SUSE:Linux Enterprise Module for Development Tools 15 SP6 | kernel-docs | 6.4.0-150600.23.53.1 öncesi | 6.4.0-150600.23.53.1 |
+5
Aynı üründe
linux: tüm kayıtlarAynı birincil ürünün en yüksek skorlu diğer kayıtları.
- CVE-2026-31431crypto: algif_aead - Revert to operating out-of-placeKEV90Hemen
- CVE-2022-0847A flaw was found in the way the "flags" member of the new pipe buffer structure was lacking proper initialization in copy_page_to_iter_pipe KEV89Hemen
- CVE-2021-22555Heap Out-Of-Bounds Write in Netfilter IP6T_SO_SET_REPLACEKEV85Hemen
Bu üründe bundan önce ve sonra yayımlananlar
- ← ÖncekiCVE-2025-2202216 Nis 2025 · usb: xhci: Apply the link chain quirk on NEC isoc endpoints31İzleyin
- ← ÖncekiCVE-2025-2202316 Nis 2025 · usb: xhci: Don't skip on Stopped - Length Invalid31İzleyin
- Sonraki →CVE-2023-5303416 Nis 2025 · ntb_hw_switchtec: Fix shift-out-of-bounds in switchtec_ntb_mw_set_trans28İzleyin
Düzeltme
Hangi sürüme geçmeli
Üretici, paket deposu ve Microsoft kayıtlarından derlenen düzeltme sürümleri. Yükseltmeden önce üreticinin notunu doğrulayın.
| Ürün / paket | Düzeltilmiş sürüm | Kaynak |
|---|---|---|
| Linux Linux | 1ca2169cc19dca893c7aae6af122852097435d16 | Üretici (CNA) |
| Linux Linux | 1ec43100f7123010730b7ddfc3d5c2eac19e70e7 | Üretici (CNA) |
| Linux Linux | 221c27259324ec1404f028d4f5a0f2ae7f63ee23 | Üretici (CNA) |
| Linux Linux | 2bb139e483f8cbe488d19d8c1135ac3615e2668c | Üretici (CNA) |
| Linux Linux | 41904cbb343d115931d6bf79aa2c815cac4ef72b | Üretici (CNA) |
| Linux Linux | 5251041573850e5020cd447374e23010be698898 | Üretici (CNA) |
| Linux Linux | 58ab63d3ded2ca6141357a2b24eee8453d0f871d | Üretici (CNA) |
| Linux Linux | 6488b96a79a26e19100ad872622f04e93b638d7f | Üretici (CNA) |
| Linux Linux | 932b32ffd7604fb00b5c57e239a3cc4d901ccf6e | Üretici (CNA) |
| debian:linux | 6.1.133-1 · Debian:12 | Paket deposu (OSV) |
| opensuse:dtb-aarch64 | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-64kb | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-azure | 6.4.0-150600.8.40.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-debug | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-default | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-default-base | 6.4.0-150600.23.53.1.150600.12.24.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-docs | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-kvmsmall | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-obs-build | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-obs-qa | 6.4.0-150600.23.53.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-source-azure | 6.4.0-150600.8.40.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| opensuse:kernel-syms-azure | 6.4.0-150600.8.40.1 · openSUSE:Leap 15.6 | Paket deposu (OSV) |
| suse:kernel-64kb | 6.4.0-150600.23.53.1 · SUSE:Linux Enterprise Module for Basesystem 15 SP6 | Paket deposu (OSV) |
| suse:kernel-azure | 6.4.0-150600.8.40.1 · SUSE:Linux Enterprise Module for Public Cloud 15 SP6 | Paket deposu (OSV) |
| suse:kernel-default | 6.4.0-150600.23.53.1 · SUSE:Linux Enterprise Module for Basesystem 15 SP6 | Paket deposu (OSV) |
| suse:kernel-default-base | 6.4.0-150600.23.53.1.150600.12.24.1 · SUSE:Linux Enterprise Module for Basesystem 15 SP6 | Paket deposu (OSV) |
| suse:kernel-docs | 6.4.0-150600.23.53.1 · SUSE:Linux Enterprise Module for Development Tools 15 SP6 | Paket deposu (OSV) |
| suse:kernel-livepatch-SLE15-SP6_Update_12 | 1-150600.13.3.1 · SUSE:Linux Enterprise Live Patching 15 SP6 | Paket deposu (OSV) |
| suse:kernel-obs-build | 6.4.0-150600.23.53.1 · SUSE:Linux Enterprise Module for Development Tools 15 SP6 | Paket deposu (OSV) |
| suse:kernel-source | 6.4.0-150600.23.53.1 · SUSE:Linux Enterprise Module for Basesystem 15 SP6 | Paket deposu (OSV) |
+4
İstismar durumu
Bilinen kamuya açık istismar yok
Şu an kamuya açık bir istismar görülmedi. Bu, güvende olduğunuz anlamına gelmez; yalnızca eşiğin biraz daha yüksek olduğunu gösterir.
Araştırma bağlamı
Pentester ve araştırmacı için: saldırı profili, puan anlaşmazlığı, zaman çizelgesi, yama commit’leri, kredi, varyant ve zincir adayları, bug bounty kapsamı. Hepsi mevcut veriden türetilir; istismar kodu içermez.
Zaman çizelgesi
Yayından bugüne: kavram kanıtı, Metasploit modülü, CISA KEV ve düzeltme kaydı. Tarihler kaynakların bildirdiği tarihlerdir.
Yayın dışında tarihli olay yok.
Henüz geçmiş yok (kayıt günlük EPSS işiyle birikir).
Yama ve commit bağlantıları
Referanslardaki commit, PR ve diff adresleri. Patch-diff ve varyant avı için başlangıç noktası; istismar değil, düzeltmedir.
Referanslarda commit ya da PR bağlantısı yok.
Kredi
Tüm araştırmacılarCNA kaydında adı geçen bulan, bildiren ve analistler. Ada tıklayın, aynı araştırmacının diğer kayıtlarını görün.
CNA kaydında kredi yok.
Varyant adayları
Aynı üründe aynı zafiyet sınıfı, 18 ay içinde. Yama kök nedeni kapatmadıysa kardeş hata burada olur.
Gece hesaplanan ilişki yok.
Zincir adayları
Aynı üründe kimlik doğrulama atlatma ile yetki isteyen bir açık kısa aralıkla yayımlanmış: birlikte kimlik doğrulamasız bir yola dönüşebilir.
—
Bug bounty kapsamı
Bilinen herkese açık program yok.
Kaynak: bounty-targets-data (HackerOne, Bugcrowd, Intigriti, YesWeHack herkese açık listeleri).
Teknik detay
Saldırı koşulları
- Sisteme yerel erişimi olan biri tetikleyebilir.
- Düşük yetkili bir hesap yeterli.
- Kullanıcının bir şey yapması gerekmez.
- Özel bir koşul gerekmez; tekrarlanabilir.
Başarılı olursa
- Gizlilik
- yok
- Bütünlük
- yok
- Erişilebilirlik
- yüksek · hizmet durdurulabilir
- Saldırı vektörü
- Yerel
- Karmaşıklık
- Düşük
- Gereken yetki
- Düşük
- Kullanıcı etkileşimi
- Gerekmez
- Kapsam
- Değişmez
- Gizlilik etkisi
- Yok
- Bütünlük etkisi
- Yok
- Erişilebilirlik etkisi
- Yüksek
Zayıflık sınıfı (CWE)
—
CVSS vektörü
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H
nvd-primary
Saldırı bağlamı
Bu zafiyet sınıfının (CWE) MITRE CAPEC saldırı desenleri ve ATT&CK teknikleri. Tespit kuralı ve tehdit avı için başlangıç noktası.
Bu CWE için MITRE'de CAPEC/ATT&CK eşlemesi yok.
Değişiklik günlüğü
- SSVC sömürü— → none
- Düzeltme✗ → ✓
Takip ettiğiniz kayıtlarda bu değişiklikler bildirim olarak da gelir. →
Referanslar
Tüm referansları göster (10 daha)Daha az göster
- git.kernel.org/stable/c/1ec43100f7123010730b7ddfc3d5c2eac19e70e7
- git.kernel.org/stable/c/221c27259324ec1404f028d4f5a0f2ae7f63ee23
- git.kernel.org/stable/c/2bb139e483f8cbe488d19d8c1135ac3615e2668c
- git.kernel.org/stable/c/41904cbb343d115931d6bf79aa2c815cac4ef72b
- git.kernel.org/stable/c/5251041573850e5020cd447374e23010be698898
- git.kernel.org/stable/c/58ab63d3ded2ca6141357a2b24eee8453d0f871d
- git.kernel.org/stable/c/6488b96a79a26e19100ad872622f04e93b638d7f
- git.kernel.org/stable/c/932b32ffd7604fb00b5c57e239a3cc4d901ccf6e
- lists.debian.org/debian-lts-announce/2025/05/msg00030.html
- lists.debian.org/debian-lts-announce/2025/05/msg00045.html
Üretici bildirimleri ve resmî kayıtlar. İstismar/PoC bağlantıları bilinçli olarak dışarıda bırakıldı.