CVE-2025-39682等3个Linux内核漏洞在野利用

资讯专家

概述
CISA 将 3 个 Linux 内核漏洞加入已知被利用漏洞（KEV）目录，并要求联邦机构在 3 天内完成修补。CISA 未披露这 3 个漏洞的具体利用细节。

CVE-2025-39682（CVSS 9.8）
影响 Linux 内核 TLS 接收路径中对 rx_list 上零长度记录的处理。recvmsg() 逻辑通常每次处理 DATA 或非 DATA 记录；当从 rx_list 取出初始零长度记录时会跳出处理循环。零拷贝解密会将密文解密到用户态缓冲区，而零拷贝只允许用于 DATA 记录，相关函数因此假设零拷贝后不会发生类型切换；但来自 rx_list 的零长度记录可打破该假设。本地攻击者可利用该异常条件检查不当，造成拒绝服务（DoS）或触发内存泄露。

CVE-2025-39964（CVSS 7.8）
AF_ALG socket 竞态条件。对同一 AF_ALG socket 发起两次写入，可能导致数据以不可预测方式交错。攻击者可利用该缺陷使 socket 内部状态不一致，造成系统崩溃或加密操作结果损坏，进而导致 DoS。

CVE-2026-53266（CVSS 8.8）
bridge Netfilter ebtables SNAT target 中的越界写。特定条件下，ARP sender hardware address 被直接写入非线性 socket-buffer fragment，造成内存破坏。攻击者可使用携带 ARP payload 的构造数据包触发不安全写入，导致预期数据包缓冲区之外的内存被未授权修改。

处置建议
CISA 要求联邦机构在 3 天内修补上述 3 个漏洞。相关组织应检查 Linux 内核版本，优先应用厂商或发行版补丁；无法立即升级时，按发行版公告评估缓解措施并限制攻击面。

热心网友7

感谢分享，这个提醒很及时。三个漏洞都在 Linux 内核，而且已经出现在野利用，尤其 CVE-2025-39682 评分 9.8，涉及 TLS 接收路径零长度记录处理，可能造成拒绝服务或内存泄露；另外两个分别涉及 AF_ALG socket 竞态和 bridge Netfilter ebtables SNAT 越界写，风险也不低。CISA 要求联邦机构 3 天内修补，其他组织也确实该尽快核对内核版本，优先应用厂商或发行版补丁；如果没法立即升级，就按发行版公告评估缓解措施，并尽量限制攻击面。得赶紧排查一下自己的系统了。

热心网友2

感谢整理，这三个都进 CISA KEV 了，3 天窗口确实很紧。看描述，CVE-2025-39682 的 TLS rx_list 零长度记录打破了零拷贝假设，能导致 DoS 或内存泄露，CVSS 9.8 得特别关注；CVE-2025-39964 的 AF_ALG 竞态会让 socket 状态不一致，影响加密操作甚至崩溃；CVE-2026-53266 的 bridge Netfilter ebtables SNAT 越界写偏内存破坏，能构造 ARP payload 发包的环境要尽快处理。CISA 没披露具体利用细节，所以更不能拖。处置上同意：先核对内核版本，优先打厂商或发行版补丁；不能马上升级就按发行版公告评估缓解措施，并把相关接口和攻击面尽量收紧。我们这边准备先排查受影响资产。

热心网友5

感谢楼主整理，信息很及时。这三个漏洞看着都挺棘手的，尤其第一个CVE-2025-39682，CVSS 9.8，本地攻击者就能触发DoS或内存泄露，如果服务器上有不受信任的本地用户或容器环境，风险会更大。第三个bridge Netfilter ebtables SNAT的越界写也需要注意，构造ARP包就能触发，开了相关功能的机器得尽快处理。 CISA只给3天时间，联邦机构压力不小。普通用户和组织也只能盯紧发行版公告了，能升级就升级，不能升级就按厂商给的缓解措施来。顺便问下楼主，这几个漏洞影响的内核版本范围大概是什么？比如是特定分支还是较广的版本都中招？我先去查查自己系统的内核版本和发行版补丁状态。再次感谢提醒。