Haavatavus netfilter alam-süsteemis, mis võimaldab käitada koodi Linuxi tuumatasemel.

Netfilteris, Linuxi tuuma all oleva süsteemi, mis on mõeldud võrgupakettide filtreerimiseks ja muutmiseks, on avastatud haavatavus (CVE-2022-25636), mis võimaldab käivitada tuuma tasemel koodi. On teatatud, et on luua eksploidi näidis, mis võimaldab kohalikul kasutajal tõsta oma privileege Ubuntu 21.10 juhul, kui KASLR kaitsesüsteem on välja lülitatud. Probleem ilmneb alates tuumast 5.4. Parandus on saadaval praegu patch'ina (korrektuursed tuuma väljalasked ei ole veel koostatud). Pakettide värskenduste avaldamise jälgimiseks jaotustes saab vaadata järgmistel lehtedel: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.

Haavatavus tuleneb vea tõttu massiivi flow->rule->action.entries suuruse arvutamisel funktsioonis nft_fwd_dup_netdev_offload (määritud failis net/netfilter/nf_dup_netdev.c), mis võib viia ründaja kontrollitavate andmete kirjutamiseni eraldatud puhvri piirest välja. Viga ilmneb „dup” ja „fwd” reeglite seadistamisel, mille jaoks rakendatakse pakettide töötlemise riistvaralist kiirendust (offload). Kuna ülevool toimub enne paketifilterreegli loomist ja offload'i toe kontrollimist, on haavatavus rakendatav ka võrgu seadmed, mis ei toeta riistvaralist kiirendust, näiteks loopback-liides.

On märgitud, et probleem on suhteliselt kerge ära kasutada, kuna puhvrist väljapoole ulatuvad väärtused võivad kirjutada net_device struktuuri näidiku ning jälle kirjutatud väärtuste andmed naasevad kasutajaruumi, mis võimaldab teada saada rünnaku teostamiseks vajalikud mäluaadressid. Haavatavuse rakendamiseks on vajalik kindlate reeglite loomine nftables'is, mis on võimalik ainult CAP_NET_ADMIN privileegide olemasolu korral, mis võivad saada enamasti privileegita kasutaja poolt eraldi võrgu nimede ruumis (network namespaces). Haavatavust saab kasutada ka konteinerite isolatsioonisüsteemide ründamiseks.

Allikas: opennet.ru