Уязвимост в подсистемата netfilter, която позволява изпълнението на код на ниво ядро на Linux

В Netfilter, подсистемата на ядрото Linux, използвана за филтриране и модифициране на мрежови пакети, е открита уязвимост (CVE-2022-25636), която позволява изпълнението на код на ниво ядро. Съобщава се за подготовка на пример експлоит, който позволява на локален потребител да повиши своите привилегии в Ubuntu 21.10 с деактивирана защита KASLR. Проблемът се проявява от ядрото 5.4. Към момента поправката е налична под формата на патч (коректни версии на ядрото не са съставени). Информация за публикуване на обновления на пакетите в дистрибуциите може да се намери на следните страници: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Уязвимостта е причинена от грешка в изчисляването на размера на масива flow->rule->action.entries в функцията nft_fwd_dup_netdev_offload (определена във файла net/netfilter/nf_dup_netdev.c), която може да доведе до запис на контролирани от атакуващия данни в паметна област извън алокирания буфер. Грешката се проявява при настройване на правилата „dup“ и „fwd“ в свързанията, за които се прилага хардуерно ускорение на обработката на пакети (offload). Тъй като преливането възниква на етапа преди създаването на правилото за филтриране на пакети и проверката за поддръжка на offload, уязвимостта е приложима и за мрежови устройства, които не поддържат хардуерно ускорение, като например loopback интерфейса.

Отбелязва се, че проблемът е сравнително лесен за експлоатация, тъй като стойности, които излизат извън границите на буфера, могат да презапишат указателя към структурата net_device, а данните за презаписаната стойност се връщат в потребителското пространство, което позволява да се получат необходимите адреси в паметта за извършване на атаката. За експлоатацията на уязвимостта е необходимо създаването на определени правила в nftables, което е възможно само при наличие на привилегии CAP_NET_ADMIN, които могат да бъдат получени от непривилегирован потребител в отделно мрежово пространство (network namespaces). Уязвимостта може също да бъде използвана за атаки срещу системи за контейнерна изолация.

Източник: opennet.ru