Linux/Unix 主機上安裝了一個或多個受到弱點影響的套件，且廠商未提供可用的修補程式。

  - netfilter： nf_tables：不要將封包路徑物件通知排入佇列 以下所有 file：line 參照均針對 v7.2-rc4 （ac5b0e5651b1）。追蹤是在 7.2.0-rc6-kasan72rc6 （075b74841bd0） 上擷取的，其中適用相同的行。nft_obj_notify（） 會從封包路徑匯出並連線。它唯一的樹狀結構呼叫者是 nft_quota_obj_eval（） （net/netfilter/nft_quota.c：68），它在評估傳輸封包的規則時以 GFP_ATOMIC 通知，不保留互斥。自從提交 67cc570edaa0 （netfilter： nf_tables：將多個通知合併為一個 skbuff） 以來，系統不再立即傳送該通知。
    __nft_obj_notify（） 透過 nft_notify_enqueue（） 將其排入 nft_net->notify_list （net/netfilter/nf_tables_api.c：1211），這是一個裸list_add_tail（）。notify_list沒有自己的鎖 （include/net/netfilter/nf_tables.h：1951），它是由 commit_mutex 序列化的：其他六個入隊站點都在網路連結事務中運行，並且 nft_commit_notify（） 中的 drain （net/netfilter/nf_tables_api.c：10746） 在保留commit_mutex的情況下從 nf_tables_commit（） 執行 list_del（） + kfree_skb（）。因此，透過參照已耗盡配額物件的鏈傳送封包，會將解鎖的 list_add_tail（） 與另一個 CPU 上的 list_del（） + kfree_skb（） 爭用。然後，__list_add（） 中的 WRITE_ONCE（prev->next， new） 會儲存已釋放的 sk_buff： 錯誤： KASAN：__nft_obj_notify+0x2c5/0x2d0 中的 slab-use-after-free 透過任務 poc/76 在 addr ff110001047183c0 寫入大小 8 CPU：0 UID：1000 PID：76 Comm：poc 污染：G W 7.2.0-rc6-kasan72rc6 #4 呼叫追蹤： <IRQ> __nft_obj_notify （include/linux/list.h：164 include/linux/list.h：191 net/netfilter/nf_tables_api.c：1211 net/netfilter/nf_tables_api.c：8743） nft_quota_obj_eval （net/netfilter/nft_quota.c：68） nft_do_chain_inet nf_hook_slow __ip_local_out ip_push_pending_frames udp_send_skb udp_sendmsg __x64_sys_sendto 由工作 77 分配：__alloc_skb （net/core/skbuff.c：704） __nft_obj_notify （include/net/netlink.h：1055 net/netfilter/nf_tables_api.c：8731） nft_quota_obj_eval （net/netfilter/nft_quota.c：68） nft_do_chain 由工作 79 釋放： nf_tables_commit （include/linux/skbuff.h：1332 net/netfilter/nf_tables_api.c：10759 net/netfilter/nf_tables_api.c：11185） nfnetlink_rcv_batch （net/netfilter/nfnetlink.c：574） netlink_unicast netlink_sendmsg 有錯誤的位址屬於大小為 232 的快取skbuff_head_cache 即使撇開爭用不談，從封包路徑排入佇列也是錯誤的：notify_list僅由 nf_tables_commit（） 的 nft_commit_notify（） 清空 （：11185）， 因此，在交易之外排隊的通知直到稍後的 NetLink 批次提交 （如果有的話） 才會傳送。nft_obj_notify（） 仍然採用的 gfp 引數是 67cc570edaa0 之前行為的遺留物，其中此路徑直接呼叫 nfnetlink_send（）。還原它：將訊息結構拆分為 nft_obj_notify_alloc（），並讓每個呼叫者決定如何處理 skb。nft_obj_notify（），從封包路徑到達的匯出者，立即發送;
    在 commit_mutex 下執行的 nf_tables_obj_notify（） 會不斷排隊，因此交易通知仍會合併。（CVE-2026-80837）

請注意，Nessus 的判定取決於廠商所報告的套件是否存在。

偵測

Linux Distros 未修補弱點：CVE-2026-80837

medium Nessus Plugin ID 343018

版本 1.12