Byla nalezena zranitelnost v podsystému Netfilter (CVE-2023-6817), která může být teoreticky využita místním uživatelem k zvýšení svých oprávnění v systému. Jádro problému spočívá v použití uvolněné paměti (use-after-free) v modulu nf_tables, odpovědném za funkčnost filtru paketů nftables.
Zranitelnost je aktuální od verze jádra Linux 5.6. Oprava navrhnuto je ve zkušebním vydání jádra Linux 6.7-rc5 a byla zahrnuta do aktuálních stabilních větví 5.10.204, 5.15.143, 6.1.68 a 6.6.7.
Problém je způsoben chybou ve funkci nft_pipapo_walk, která neprovádí kontrolu duplicit při procházení prvků PIPAPO (Pile Packet Policies). To vede k dvojímu uvolnění paměti. K úspěšné útoku je vyžadován přístup k nftables, který lze získat s oprávněním CAP_NET_ADMIN v jakémkoli uživatelském jmenném prostoru (user namespace) nebo síťovém jmenném prostoru (network namespace). Tato oprávnění lze poskytnout například v izolovaných kontejnerech. Pro kontrolu svých systémů byla vydána prototyp exploit.
Zdroj: linux.org.ru
