Netfilter'i alamsüsteemis tuvastati haavatavus (CVE-2023-6817), mis võimaldab potentsiaalsel kohaliku kasutajal süsteemis oma õigusi tõsta. Probleem tuleneb vabastatud mälu peale juurdepääsust (use-after-free) nf_tables moodulis, mis tagab nftables pakettide filtreerimise. Haavatavus ilmneb alates Linuxi tuumast versioonis 5.6. Haavatavuse parandamine on soovitatud Linuxi tuuma testversioonis 6.7-rc5 ja kantud hilisematesse stabiilsetesse harudesse 5.10.204, 5.15.143, 6.1.68 ja 6.6.7.
Probleem on põhjustatud veast nft_pipapo_walk funktsioonis, mis ei kontrollinud PIPAPO (Pile Packet Policies) elemente iteratsiooni käigus duplikaatide olemasolu, mis viis mälu kakstdurustamiseni. Rünnaku läbiviimiseks on vajalik juurdepääs nftables'ile, mis on saadaval, kui on õigused CAP_NET_ADMIN igas kasutaja identifikaatorite (user namespace) või võrgu identifikaatori (network namespace) nimed. Need õigused võivad olla kergesti saadud näiteks isoleeritud konteinerites. Oma süsteemide testimiseks on avaldatud eksploidi prototüüp.
Allikas: opennet.ru
