In het Netfilter-systeem is een kwetsbaarheid ontdekt (CVE-2023-6817) die een lokale gebruiker mogelijk in staat stelt om zijn privileges in het systeem te verhogen. Dit probleem wordt veroorzaakt door toegang tot geheugen na de vrijgave ervan (use-after-free) in de nf_tables-module, die de werking van de nftables-pakketfilter zorgt. De kwetsbaarheid doet zich voor vanaf versie 5.6 van de Linux-kernel. Een oplossing voor de kwetsbaarheid is voorgesteld in de testversie van de Linux-kernel 6.7-rc5 en is overgebracht naar de actuele stabiele versies 5.10.204, 5.15.143, 6.1.68 en 6.6.7.
Het probleem wordt veroorzaakt door een fout in de functie nft_pipapo_walk, waardoor tijdens het itereren over de PIPAPO (Pile Packet Policies)-elementen geen controle op duplicaten werd uitgevoerd, wat resulteerde in dubbele geheugenafgifte. Voor het uitvoeren van een aanval is toegang tot nftables vereiste, die kan worden verkregen met de CAP_NET_ADMIN-rechten in elke gebruikersnaamruimte (user namespace) of netwerknaamruimte (network namespace), die bijvoorbeeld kunnen worden aangeboden in geïsoleerde containers. Voor het testen van uw systemen is er een prototype van de exploit gepubliceerd.
Bron: opennet.ru
