CVE-2025-39894: luka w jądrze Linux dotycząca obsługi pakietów broadcast w br_netfilter

Co wiadomo

W jądrze Linux załatano lukę w module netfilter (br_netfilter), gdzie błędna obsługa potwierdzenia połączenia (conntrack) mogła prowadzić do ostrzeżeń systemowych i potencjalnych problemów z przetwarzaniem pakietów broadcast wysyłanych do urządzeń tap dodanych do mostu. Problem wynikał z nieprawidłowego użycia starego wskaźnika conntrack po próbie rozwiązania konfliktu hash.

Wpływ biznesowy

Ta luka może powodować nieoczekiwane ostrzeżenia w logach systemowych i potencjalnie wpływać na stabilność lub wydajność systemów korzystających z funkcji mostkowania i filtrowania pakietów w jądrze Linux. Operatorzy infrastruktury powinni zwrócić uwagę na możliwe zakłócenia w ruchu sieciowym, zwłaszcza w środowiskach wykorzystujących urządzenia tap i mosty sieciowe.

Rekomendowane działania administratora

Zaleca się jak najszybsze wdrożenie aktualizacji jądra Linux zawierającej poprawkę dla CVE-2025-39894. W przypadku braku możliwości natychmiastowej aktualizacji, warto ograniczyć ekspozycję urządzeń tap w mostach sieciowych, monitorować logi systemowe pod kątem ostrzeżeń związanych z br_netfilter oraz priorytetyzować wdrożenie poprawki w środowiskach krytycznych.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference