Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - netfilterbr_netfilter確認後不檢查 br_nf_local_in() 中的已確認位元。將廣播封包傳送至 tap 裝置且其已新增至橋接器時系統會呼叫 br_nf_local_in() 以確認 conntrack。如果將另一個具有相同雜湊值的 conntrack 新增到雜湊表 (可由非橋接器裝置的正常封包觸發)則可能會發生以下警告。 ------------[cut here]------------ 警告 CPU: 1 PID: 96 at net/bridge/br_netfilter_hooks.c:632 br_nf_local_in+0x168/ 0x200 CPU1 UID0 PID 96 Commtap_send 未受污染的 6.17.0-rc2-dirty #44 PREEMPT(vulnerable) RIP
    0010:br_nf_local_in+0x168/0x200 Call Trace: <TASK> nf_hook_slow+0x3e/0xf0 br_pass_frame_up+0x103/0x180 br_handle_frame_finish+0x2de/0x5b0 br_nf_hook_thresh+0xc0/0x120 br_nf_pre_routing_finish+0x168/0x3a0 br_nf_pre_routing+0x237/0x5e0 br_handle_frame+0x1ec/0x3c0 __netif_receive_skb_core+0x225 /0x1210
    __netif_receive_skb_one_core+0x37/0xa0 netif_receive_skb+0x36/0x160 tun_get_user+0xa54/0x10c0 tun_chr_write_iter+0x65/0xb0 vfs_write+0x305/0x410 ksys_write+0x60/0xd0 do_syscall_64+0xa4/0x260 entry_SYSCALL_64_after_hwframe+0x77/0x7f </TASK> ---[ end trace 0000000000000000 ] --- 若要解決雜湊衝突nf_ct_resolve_clash() 會嘗試合併 conntracks並更新 skb->_nfct。但是在 confirm() 之後br_nf_local_in() 仍使用本機變數「nfct」的舊 ct導致出現此警告。如果 confirm() 未插入 conntrack 項目並傳回 NF_DROP也可能會出現該警告。
    不需要保留 WARN_ON_ONCE將其移除即可。 (CVE-2025-39894)

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-39894

medium Nessus Plugin ID 269669

版本 1.18