Isso não é um bug, é assim que o ECN funciona entre pontos de extremidade TCP.
O host A envia um SYN com sinalizadores ECN e CWR configurados para permitir que o host B saiba que deseja usar o ECN. Se o host B suportar ECN, ele deverá SYN-ACK com o bit ECN definido.
Quando a ECN for negociada, as informações da ECT podem ser definidas no cabeçalho IP, que é o que você está vendo ao observar a captura (não-SYN) em seu host Linux.
De RFC3168 :
Before a TCP connection can use ECN, Host A sends an ECN-setup SYN packet, and Host B sends an ECN-setup SYN-ACK packet. For a SYN packet, the setting of both ECE and CWR in the ECN-setup SYN packet is defined as an indication that the sending TCP is ECN-Capable, rather than as an indication of congestion or of response to congestion.