Linuxカーネルのnetfilterサブシステムにおいて、ctnetlinkによるテーブルダンプ処理で参照カウントリークが発生する脆弱性が修正されました。まれにconntrackオブジェクトの参照カウントが適切に解放されないことで、カーネルのリソースが枯渇したり、netnsの解体やモジュールの取り外し処理が停止する可能性があります。この問題には、参照カウント処理を削除し、クッキー値を保存することで対処しています。また、ctnetlink_exp_dump_tableにも同様の修正が今後適用される予定です。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。