È stata rilevata una vulnerabilità nel sottosistema Netfilter (CVE-2023-6817), che teoricamente potrebbe essere sfruttata da un utente locale per elevare i propri privilegi nel sistema. La causa del problema risiede nell'uso di memoria liberata (use-after-free) nel modulo nf_tables, responsabile della funzionalità del filtro pacchetti nftables.
Vulnerabilità è attuale a partire dalla versione del kernel Linux 5.6. La correzione suggerito è presente nella versione di test del kernel Linux 6.7-rc5 ed è stata inclusa nelle attuali branche stabili 5.10.204, 5.15.143, 6.1.68 e 6.6.7.
Il problema è causato da un errore nella funzione nft_pipapo_walk, che non controlla la presenza di duplicati durante l'iterazione degli elementi PIPAPO (Pile Packet Policies). Questo porta a un doppio rilascio della memoria. Per un attacco riuscito è necessario avere accesso a nftables, che può essere ottenuto possedendo i diritti CAP_NET_ADMIN in qualsiasi spazio dei nomi utente (user namespace) o spazio dei nomi di rete (network namespace). Questi diritti possono essere concessi, ad esempio, in contenitori isolati. Per verificare i propri sistemi pubblicato prototipo dell'exploit.
Fonte: linux.org.ru
