Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - netfiltersocketsocketnf_sk_lookup_slow_v4 會針對 IPv4 封包進行 conntrack 查閱以還原 SNAT 的原始 5 元組以便能夠找到正確的通訊端 (若有)。
    然後 socket_match() 即可正確檢查通訊端是否為透明。不過IPv6 對應項目 (nf_sk_lookup_slow_v6) 缺少此 conntrack 查閱導致 SNAT 封包時 xt_socket 無法在通訊端上比對。將相同邏輯新增至 nf_sk_lookup_slow_v6。IPv6 SNAT 在 pod-to-world 封包的 Kubernetes 叢集中使用因為 pod 的位址位於 fd00::/8 ULA 子網路中且需要用節點的外部位址取代。Ciium 利用 Envoy 強制執行 L7 原則而 Envoy 使用透明通訊端。Ciium 會插入與 `-m socket --transparent` 相符的 iptables 預先路由規則並將封包重新導向至 localhost但因為缺少 conntrack 查閱而無法比對 SNATed IPv6 封包。 (CVE-2025-22021)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-22021

medium Nessus Plugin ID 245068

版本 1.11