Netfilter, in subsysteem fan 'e Linux-kernel dy't brûkt wurdt om netwurkpakketten te filterjen en te wizigjen, hat in kwetsberens (CVE-2022-25636) dy't koade útfiere op it kernelnivo mooglik makket. It wurdt oankundige dat in foarbyld fan in eksploitaasje is taret wêrtroch in lokale brûker har privileezjes yn Ubuntu 21.10 kin ferheegje mei it KASLR-beskermingsmeganisme útskeakele. It probleem ferskynt begjinnend fan kernel 5.4. De fix is noch te krijen as in patch (korrigearjende kernel-releases binne net generearre). Jo kinne de publikaasjes fan pakketfernijings folgje yn distribúsjes op dizze siden: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.
De kwetsberens wurdt feroarsake troch in flater by it berekkenjen fan de grutte fan 'e flow->rule->action.entries-array yn 'e nft_fwd_dup_netdev_offload-funksje (definieare yn it bestân net/netfilter/nf_dup_netdev.c), wat kin liede ta oanfaller-kontroleare gegevens skreaun nei in ûnthâld gebiet bûten de grins fan de tawiisd buffer. De flater ferskynt by it konfigurearjen fan de regels "dup" en "fwd" yn keatlingen wêrfoar hardwarefersnelling fan pakketferwurking (offload) wurdt brûkt. Om't de oerstreaming foarkomt foardat in pakketfilterregel oanmakke wurdt en kontrolearre wurdt op ôflaststipe, jildt de kwetsberens ek foar netwurkapparaten dy't gjin hardwarefersnelling stypje, lykas in loopback-ynterface.
It wurdt opmurken dat it probleem frij simpel te eksploitearjen is, om't wearden dy't fierder gean as de buffer de oanwizer kinne oerskriuwe nei de net_device-struktuer, en gegevens oer de oerskreaune wearde wurde weromjûn nei brûkersromte, wêrtroch jo de adressen kinne fine. yn it ûnthâld nedich om de oanfal út te fieren. Eksploitaasje fan 'e kwetsberens fereasket it oanmeitsjen fan bepaalde regels yn nftables, wat allinich mooglik is mei de CAP_NET_ADMIN-privileezjes, dy't kinne wurde krigen troch in unprivileged brûker yn in aparte netwurknammeromten. De kwetsberens kin ek brûkt wurde om kontener-isolaasjesystemen oan te fallen.
Boarne: opennet.ru