Открита уязвимост в подсистемата Netfilter (CVE-2023-6817), която в теорията може да бъде използвана от локален потребител за повишаване на привилегиите си в системата. Коренът на проблема е в използването на освободена памет (use-after-free) в модула nf_tables, отговорен за функционалността на пакетния филтър nftables.
Уязвимостта актуално от версия на ядрото Linux 5.6. Поправка беше предложено в тестовия релиз на ядрото Linux 6.7-rc5 и включена в текущите стабилни ветки 5.10.204, 5.15.143, 6.1.68 и 6.6.7.
Проблемът е причинен от грешка във функцията nft_pipapo_walk, която не извършва проверка за дублирани елементи по време на итерацията на елементите PIPAPO (Pile Packet Policies). Това води до двойно освобождаване на паметта. За успешна атака е необходим достъп до nftables, който може да бъде получен с права CAP_NET_ADMIN в което и да е пространство на потребители (user namespace) или мрежово пространство (network namespace). Тези права могат да бъдат предоставени, например, в изолирани контейнери. За проверка на системите си беше публикуван прототип на експлоита.
Източник: linux.org.ru
