Analityczne wykorzystywanie plików cookies
CVE-2025-22021: luka w jądrze Linux dotycząca obsługi IPv6 SNAT
Luka CVE-2025-22021 w jądrze Linux wpływa na obsługę IPv6 SNAT, utrudniając działanie transparentnych gniazd w Kubernetes. Zalecana aktualizacja.
- CVSS
- 5.5 MEDIUM
- EPSS
- 6.86%
- Aktywnie wykorzystywana
- brak w KEV
- Produkt
- linux kernel
Co wiadomo
W jądrze Linux naprawiono lukę związaną z obsługą translacji adresów IPv6 SNAT w module netfilter. Brakowało odpowiedniego wyszukiwania połączeń dla pakietów IPv6 SNAT, co powodowało błędne dopasowanie gniazd przez xt_socket, szczególnie w środowiskach Kubernetes wykorzystujących transparentne gniazda.
Wpływ biznesowy
Problem może wpływać na klastry Kubernetes korzystające z IPv6 SNAT, gdzie adresy podów są zamieniane na adresy węzłów. Błąd ten może powodować nieprawidłowe działanie reguł iptables i mechanizmów bezpieczeństwa opartych na transparentnych gniazdach, co utrudnia egzekwowanie polityk sieciowych na poziomie warstwy 7. Może to prowadzić do problemów z kontrolą ruchu i potencjalnie zwiększać ryzyko nieautoryzowanego dostępu.
Rekomendowane działania administratora
Zaleca się jak najszybsze zaktualizowanie jądra Linux do wersji zawierającej poprawkę dla CVE-2025-22021. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć ekspozycję usług korzystających z IPv6 SNAT, monitorować logi sieciowe pod kątem nieprawidłowości oraz zweryfikować reguły iptables i konfigurację Cilium/Envoy pod kątem poprawności działania.