הרשומה מתארת כתיבה מחוץ לתחום באזור ה-heap בקובץ net/netfilter/x_tables.c של ליבת לינוקס, הקוד שאחראי על טבלאות הסינון שמאחורי iptables. הבאג קיים בליבה מאז גרסה 2.6.19, כלומר משנת 2006, והוא מאפשר למי שמגיע אליו להשיג הרשאות או להפיל את המערכת. הציון הוא 8.3 מתוך 10.

מה החולשה?

תוכנית ששומרת נתון באזור זיכרון שהוקצה לה חייבת לוודא שהנתון נכנס בגבולות שלו. כשהיא כותבת מעבר לגבול היא דורסת את מה שנמצא אחריו, ומה שנמצא אחריו הוא נתונים של מישהו אחר. בליבת מערכת ההפעלה, אותו "מישהו אחר" יכול להיות מבנה שקובע הרשאות, ולכן דריסה מדויקת שם אינה קריסה אלא שליטה.

הדרך אל הבאג היא החלק שהופך אותו למעשי. הרשומה מציינת שהוא נגיש דרך user namespace, מנגנון שמאפשר לתהליך לקבל בתוך תחום מבודד משלו הרשאות שאין לו במערכת עצמה. המנגנון הזה קיים כדי לאפשר קונטיינרים ובידוד בלי הרשאות root, והוא גם מה שפותח למשתמש רגיל את הדרך אל קוד הליבה שמטפל בטבלאות הסינון.

התוצאה, לפי הרשומה, היא הסלמת הרשאות או השבתה של המערכת דרך השחתת זיכרון. זו חולשה מקומית, והיא מתחילה ממי שכבר יכול להריץ קוד על המכונה.

מי מושפע?

טווח הגרסאות כאן רחב במיוחד, בדיוק משום שהבאג ישן. הרשומה מונה את ליבת לינוקס מ-2.6.19 ועד הגרסאות המתקנות בכל ענף תחזוקה: מתחת ל-4.4.267, מתחת ל-4.9.267, מתחת ל-4.14.231, מתחת ל-4.19.188, מתחת ל-5.4.113, מתחת ל-5.10.31, ומתחת ל-5.12 בענף 5.11. לצד הליבה עצמה מופיעים גם מוצרי NetApp שמבוססים עליה.

בפועל, כמעט כל הפצה מודרנית מריצה היום ליבה מאוחרת בהרבה. השאלה האמיתית אינה איזו הפצה מותקנת, אלא מתי בפעם האחרונה עודכנה הליבה ובוצע אתחול.

האם מנוצלת בפועל?

כן. הרשומה פורסמה ב-NVD ביולי 2021, וב-6 באוקטובר 2025 היא נוספה לקטלוג ה-KEV של סוכנות הסייבר האמריקאית CISA, רשימת החולשות שידוע שתוקפים משתמשים בהן בפועל. המועד שנקבע לגופים הפדרליים האמריקאיים לסיים את התיקון היה 27 באוקטובר 2025.

כניסה לקטלוג ארבע שנים אחרי התיקון אינה סימן שהבאג התגלה מחדש. היא סימן שיש בשטח מכונות שעדיין מריצות ליבה ישנה, ושמישהו מצא אותן.

מה עושים?

עדכנו את חבילת הליבה דרך מנהל החבילות של ההפצה שלכם, ואתחלו. בלי אתחול המערכת ממשיכה לרוץ על הליבה הישנה, וזו טעות נפוצה שמשאירה שרת פגיע אחרי שהעדכון כבר הותקן ונראה מטופל.

אם אתחול אינו אפשרי מיד, בדקו אם ההפצה שלכם מציעה החלה חמה של תיקוני ליבה. הרשומה מצרפת הודעות על תיקונים כאלה, כאן וכאן.

על מכונות שמריצות קוד של משתמשים או קונטיינרים שאינם מהימנים, שווה לבדוק אם user namespace לא מורשה נחוץ לכם בכלל. זה המסלול שהרשומה מציינת, וצמצומו מקטין את מי שיכול להגיע לקוד הפגיע.

התיקון עצמו נמצא בשני שינויים בעץ הליבה, הראשון והשני.