Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且供應商未提供可用的修補程式。

  - ipv6pskb_expand_head() 中的錯誤 () 屬於 calipso_skbuff_setattr() 的一部分。pskb_expand_head() 中存在一個由 net/core/skbuff.c:2232 的 BUG_ON(nhead < 0) 造成的核心 oops。當傳遞 skb_cow() 的空餘空間 > INT_MAX (即 (int)(skb_headroom(skb) + len_delta) < 0) 時會觸發此錯誤作為 calipso_skbuff_setattr() 常式的一部分。此錯誤的根本原因是 __skb_cow() 中的隱含整數轉換。檢查 (headroom > skb_headroom(skb)) 是為了確保 delta = headroom - skb_headroom(skb) 絕不為負值否則我們會在 pskb_expand_head() 中觸發 BUG_ON。不過如果 headroom > INT_MAX 且 delta <= -NET_SKB_PAD則檢查會通過該檢查會變成負值且 pskb_expand_head() 會收到 nhead 的負值。修正 calipso_skbuff_setattr() 中的觸發條件。藉由只使用 skb_cow() 來增加空餘空間以避免將負空餘空間大小傳遞至 calipso_skbuff_setattr() 內的 skb_cow()。PoC
    使用 `netlabelctl` 工具netlabelctl map del default netlabelctl calipso add pass doi:7 netlabelctl map add default address:0::1/128 protocol:calipso,7 然後執行下列 PoCint fd = socket(AF_INET6, SOCK_DGRAM, IPPROTO_UDP ); // setup msghdr int cmsg_size = 2; int cmsg_len = 0x60 struct msghdr 訊息
    struct sockaddr_in6 dest_addr struct cmsghdr * cmsg = (struct cmsghdr *) calloc(1, sizeof(struct cmsghdr) + cmsg_len); msg.msg_name = &dest_addr; msg.msg_namelen = sizeof(dest_addr); msg.msg_iov = NULL
    msg.msg_iovlen = 0 msg.msg_control = cmsg; msg.msg_controllen = cmsg_len msg.msg_flags = 0 // setup sockaddr dest_addr.sin6_family = AF_INET6; dest_addr.sin6_port = htons(31337); dest_addr.sin6_flowinfo = htonl(31337); dest_addr.sin6_addr = in6addr_loopback dest_addr.sin6_scope_id = 31337 // 設定 cmsghdr cmsg->cmsg_len = cmsg_len; cmsg->cmsg_level = IPPROTO_IPV6 cmsg->cmsg_type = IPV6_HOPOPTS char * hop_hdr = (char *)cmsg + sizeof(struct cmsghdr); hop_hdr[1] = 0x9 //設定躍點大小 - (0x9 + 1) * 8 = 80 sendmsg(fd, &msg, 0); (CVE-2025-71085)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補的弱點：CVE-2025-71085

medium Nessus Plugin ID 283656

版本 1.12