Linuxカーネルにおいて、以下の脆弱性が修正されました：netfilterのx_tablesにおけるNFPROTO_ARPに対するxt_check_matchおよびxt_check_target拡張機能の制限問題です。Weiming Shiによると、NFPROTO_UNSPECで登録されたxt_matchおよびxt_target構造体はnft_compatを通じて任意のプロトコルファミリでロード可能でした。このようなマッチやターゲットが特定のフックでのみ動作を制限するために.hooksを設定した場合、そのビットマスクはNF_INET_*定数を使用します。しかしこれはIPv4、IPv6、INET、ブリッジのようにNF_INET_*のフック配置に一致するファミリにのみ正しく適用され、ARPはIN=0、OUT=1、FORWARD=2の3つの異なるフックを持ち、意味も異なります。NF_ARP_OUTは1であり、NF_INET_LOCAL_INと等しいため、.hooksの検証は誤った理由で静かに通過します。その結果、フックの仮定（例：入力フックでstate-inがセットされること）が成り立たないARPチェイン上でマッチが実行されてしまいます。これによりNULLポインタ参照が発生し、xt_devgroupが具体的な例となりました。このエラーは「Oops: general protection fault, probably for non-canonical address 0xdffffc0000000044」やKASANのNULLポインタ逆参照として現れます。修正内容は、arptablesをNFPROTO_ARP拡張のみ使用可能に制限することです。なお、arptables-legacyは明示的にNFPROTO_ARPのマッチおよびターゲット宣言を提供する以下のもののみ対応しています：arpt_CLASSIFY、arpt_mangle、arpt_MARKです。
