Leitud haavatavus Netfilteri alam-süsteemis (CVE-2023-6817), mis teoreetiliselt võib kohaliku kasutaja poolt kasutada süsteemi privileegide tõstmiseks. Probleemi juured peituvad vabastatud mälu (use-after-free) kasutamises nf_tables moodulis, mis vastutab nftablesi paketifiltri funktsionaalsuse eest.
Haavatavus kehtib alates Linuxi tuuma versioonist 5.6. Parandus ettepanek on testversioonis Linuxi tuumas 6.7-rc5 ja lisatud praegustesse stabiilsetesse okstesse 5.10.204, 5.15.143, 6.1.68 ja 6.6.7.
Probleem on põhjustatud veast funktsioonis nft_pipapo_walk, mis ei kontrolli duplektide olemasolu PIPAPO (Pile Packet Policies) elementide läbivaatamisel. See toob kaasa topeltmälu vabastamise. Eduka rünnaku jaoks on vajalik ligipääs nftablesile, mida saab omada CAP_NET_ADMIN õigustega igas kasutajate ruumis (user namespace) või võrguruumis (network namespace). Need õigused võivad olla näiteks saadud isoleeritud konteinerites. Oma süsteemide kontrollimiseks avaldatud on olemas eksploidi prototüüp.
Allikas: linux.org.ru
