Kohalik haavatavus Linuxi tuumas, mida saab kasutada läbi nftables

Netfilteri alamsüsteemis on tuvastatud haavatavus (CVE-2023-6817), mis võib potentsiaalselt võimaldada kohalikel kasutajatel oma süsteemi õigusi suurendada. Probleem on põhjustatud mälu kasutamisest pärast selle vabastamist (use-after-free) nf_tables moodulis, mis tagab nftables pakettide filtreerimise. Haavatavus ilmneb alates Linuxi tuuma versioonist 5.6. Haavatavuse parandamine on ette nähtud Linuxi tuuma testversioonis 6.7-rc5 ja see on kantud käimasolevatesse stabiilsetesse harudesse 5.10.204, 5.15.143, 6.1.68 ja 6.6.7.

Probleem on tingitud veast nft_pipapo_walk funktsioonis, mille tõttu PIPAPO (Pile Packet Policies) elementide süstematiseerimise käigus ei kontrollitud duplettide esinemist, mis viis mälu topeltvabastamiseni. Rünnaku läbiviimiseks on vajalik juurdepääs nftables'ile, mille saab omandada CAP_NET_ADMIN õiguste kaudu mis tahes kasutajate identifikaatorite nimiruumi (user namespace) või võrgu nimiruumi (network namespace), mida võivad näiteks anda isoleeritud konteinerid. Oma süsteemide testimiseks on avaldatud eksploidi prototüüp.

Allikas: opennet.ru