Уязвимост в подсистемата netfilter, която позволява изпълнение на код на ниво ядро ​​на Linux

Беше идентифицирана уязвимост (CVE-2022-25636) в Netfilter, подсистема на ядрото на Linux, използвана за филтриране и модифициране на мрежови пакети, която може да позволи изпълнение на код на ниво ядро. Беше обявен пример за експлойт, който позволява на локален потребител да повиши привилегиите си в Ubuntu 21.10 с деактивиран защитен механизъм KASLR. Проблемът се проявява, започвайки с ядрото 5.4. Корекцията все още е налична като кръпка (не са формирани коригиращи версии на ядрото). Можете да следите публикуването на актуализации на пакети в дистрибуции на тези страници: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Уязвимостта е причинена от грешка при изчисляване на размера на масива flow->rule->action.entries във функцията nft_fwd_dup_netdev_offload (дефинирана във файла net/netfilter/nf_dup_netdev.c), което може да доведе до контролирани от атакуващия данни записан в област на паметта извън границите на разпределения буфер. Грешката се проявява при задаване на правилата "dup" и "fwd" във вериги, за които се използва хардуерно ускорение на обработката на пакети (offload). Тъй като препълването възниква преди създаването на правилото за пакетен филтър и проверката за поддръжка на разтоварване, уязвимостта е приложима и към мрежови устройства, които не поддържат хардуерно ускорение, като например интерфейс за обратна връзка.

Отбелязва се, че проблемът е доста лесен за използване, тъй като стойностите, които надхвърлят буфера, могат да презапишат указателя към структурата net_device и данните за презаписаната стойност се връщат в потребителското пространство, което прави възможно да се открие адреси в паметта, необходими за извършване на атаката. Експлоатацията на уязвимостта изисква създаването на определени правила в nftables, което е възможно само с привилегии CAP_NET_ADMIN, които могат да бъдат получени от непривилегирован потребител в отделно мрежово пространство от имена (мрежови пространства от имена). Уязвимостта може да се използва и за атака на системи за изолация на контейнери.

Източник: opennet.ru