En sårbarhed (CVE-2022-25636) er blevet identificeret i Netfilter, et Linux-kerne-undersystem, der bruges til at filtrere og ændre netværkspakker, som kunne tillade kodeudførelse på kerneniveau. Et eksempel på en udnyttelse, der tillader en lokal bruger at hæve deres privilegier i Ubuntu 21.10 med KASLR-sikkerhedsmekanismen deaktiveret, er blevet annonceret. Problemet manifesterer sig fra kerne 5.4. Rettelsen er stadig tilgængelig som en patch (korrigerende kerneudgivelser er ikke blevet dannet). Du kan følge udgivelsen af pakkeopdateringer i distributioner på disse sider: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.
Sårbarheden er forårsaget af en fejl i beregningen af størrelsen af flow->rule->action.entries-arrayet i funktionen nft_fwd_dup_netdev_offload (defineret i net/netfilter/nf_dup_netdev.c-filen), hvilket kan resultere i, at hacker-kontrollerede data bliver skrevet til et hukommelsesområde uden for den tildelte buffer. Fejlen viser sig, når reglerne "dup" og "fwd" indstilles i kæder, hvor hardwareacceleration af pakkebehandling (offload) bruges. Da overløbet sker, før pakkefilterreglen er oprettet, og offload-understøttelse er kontrolleret, er sårbarheden også gældende for netværksenheder, der ikke understøtter hardwareacceleration, såsom en loopback-grænseflade.
Det bemærkes, at problemet er ret simpelt at udnytte, da værdier, der går ud over bufferen, kan overskrive markøren til net_device-strukturen, og data om den overskrevne værdi returneres til brugerrummet, hvilket gør det muligt at finde ud af adresser i hukommelsen, der er nødvendige for at udføre angrebet. Udnyttelse af sårbarheden kræver oprettelse af visse regler i nftables, hvilket kun er muligt med CAP_NET_ADMIN-privilegier, som kan opnås af en uprivilegeret bruger i et separat netværksnavneområde (netværksnavneområder). Sårbarheden kan også bruges til at angribe containerisoleringssystemer.
Kilde: opennet.ru