פגיעות בתת מערכת ליבת Netfilter של Linux Netfilter

זוהתה פגיעות (CVE-2021-22555) ב-Netfilter, תת-מערכת של ליבת לינוקס המשמשת לסינון ושינוי מנות רשת, המאפשרת למשתמש מקומי לקבל הרשאות שורש במערכת, כולל בזמן שהוא נמצא בקונטיינר מבודד. אב טיפוס עובד של ניצול העוקף את מנגנוני ההגנה KASLR, SMAP ו-SMEP הוכן לבדיקה. החוקר שגילה את הפגיעות קיבל פרס של 20 דולר מגוגל על ​​זיהוי שיטה לעקוף את הבידוד של מיכלי Kubernetes באשכול kCTF.

הבעיה קיימת מאז הליבה 2.6.19, שפורסמה לפני 15 שנים, והיא נגרמת על ידי באג במטפלים IPT_SO_SET_REPLACE ו-IP6T_SO_SET_REPLACE שגורם לגלישה במאגר בעת שליחת פרמטרים מעוצבים במיוחד באמצעות קריאת setsockopt במצב compat. בנסיבות רגילות, רק משתמש השורש יכול לבצע קריאה ל-compat_setsockopt(), אך את ההרשאות הנדרשות לביצוע ההתקפה ניתן לקבל גם משתמש חסר הרשאות במערכות עם תמיכה במרחבי שמות משתמשים מופעלים.

משתמש יכול ליצור קונטיינר עם משתמש שורש נפרד ולנצל את הפגיעות משם. לדוגמה, "מרחבי שמות משתמשים" מופעל כברירת מחדל באובונטו ובפדורה, אך אינו מופעל בדביאן וב-RHEL. התיקון המתקן את הפגיעות אומץ לתוך ליבת לינוקס ב-13 באפריל. עדכוני חבילות כבר נוצרו על ידי הפרויקטים של דביאן, Arch Linux ו-Fedora. באובונטו, RHEL ו-SUSE, עדכונים נמצאים בהכנה.

הבעיה מתרחשת בפונקציה xt_compat_target_from_user() עקב חישוב שגוי של גודל הזיכרון בעת ​​שמירת מבני ליבה לאחר המרה מ-32-bit ל-64-bit. הבאג מאפשר לכתוב ארבעה בתים null לכל מיקום מעבר למאגר שהוקצה תחום על ידי היסט 0x4C. התכונה הזו התבררה כמספיקה כדי ליצור ניצול שאפשר להשיג זכויות שורש - על ידי ניקוי המצביע m_list->next במבנה msg_msg, נוצרו תנאים לגישה לנתונים לאחר שחרור זיכרון (use-after-free), אשר שימש אז כדי לקבל מידע על כתובות ושינויים במבנים אחרים באמצעות מניפולציה של קריאת המערכת msgsnd() .

מקור: OpenNet.ru