Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - netfilter： nf_conncount：修正元組重複資料刪除中的區域比較 中已存在的重複資料刪除邏輯
    __nf_conncount_add（） 會決定連線是否已計數，是否可以略過，而不是遞增 connlimit 計數。它將清單項目的 conntrack 區域與使用 nf_ct_zone_id（） 和 nf_ct_zone_equal（） 新增的連線區域進行比較，並傳遞 conn->zone.dir 或 zone->dir 作為方向引數。這些協助程式採用列舉ip_conntrack_dir值：IP_CT_DIR_ORIGINAL 為 0，IP_CT_DIR_REPLY 為 1。但是，zone->dir 是一個 u8 位元遮罩：NF_CT_ZONE_DIR_ORIG 是 1，NF_CT_ZONE_DIR_REPL 是 2，NF_CT_DEFAULT_ZONE_DIR 是 3。傳遞該位遮罩作為列舉方向會轉移每個非零值的意義。僅限 ORIG 區域會傳遞 1 並測試為 REPLY，而僅限 REPL 和預設區域會傳遞 2 或 3 並測試超出有效方向範圍的位。在這些情況下，nf_ct_zone_id（） 可以回退到NF_CT_DEFAULT_ZONE_ID，而不是使用真正的區域 ID，因此可以將不同的區域視為相等，並且重複資料刪除會折疊以僅元組相等。nf_conncount 會儲存並比較連線的原始方向元組。如果 skb 已經附加了 conntrack 項目，則 get_ct_or_tuple_from_skb（） 會明確複製 ct->tuplehash[IP_CT_DIR_ORIGINAL].tuple，而不管封包的 ctinfo 為何。因此，元組重複資料刪除路徑中的區域比較也必須使用 IP_CT_DIR_ORIGINAL;區域方向位遮罩描述區域識別碼的套用位置，而不是此 Conncount 元組所代表的方向。透過直接傳遞IP_CT_DIR_ORIGINAL來修正兩個重複資料刪除比較。請勿NF_CT_DEFAULT_ZONE_DIR特殊情況，也不要比較原始區域識別碼：搭配IP_CT_DIR_ORIGINAL使用現有的協助程式可保留方向感知NF_CT_DEFAULT_ZONE_ID後援。預設雙向區域包含 ORIG 位元，因此它自然會傳回實際區域 ID;僅回覆區域會繼續回退以進行原始方向元組比較。
    (CVE-2026-72247)

請注意，Nessus 依賴供應商報告的套件存在。

偵測

Linux Distros 未修補弱點：CVE-2026-72247

high Nessus Plugin ID 337590

版本 1.11