In Netfilter, de Linux-kernel sub-structuur die wordt gebruikt voor het filteren en modificeren van netwerkpakketten, is een kwetsbaarheid (CVE-2022-25636) ontdekt die code op kernel-niveau kan uitvoeren. Er is een voorbeeld-exploit in voorbereiding waarmee een lokale gebruiker zijn privileges in Ubuntu 21.10 kan verhogen met KASLR-beveiliging uitgeschakeld. Het probleem doet zich voor vanaf kernelversie 5.4. Een oplossing is momenteel beschikbaar in de vorm van een patch (de gecorrigeerde kernelversies zijn nog niet uitgebracht). Updates voor de pakketten in distributies kunnen worden gevolgd op de volgende pagina's: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.
De kwetsbaarheid wordt veroorzaakt door een fout in de berekening van de grootte van de array flow->rule->action.entries in de functie nft_fwd_dup_netdev_offload (gedefinieerd in het bestand net/netfilter/nf_dup_netdev.c), wat kan leiden tot het schrijven van door de aanvaller gecontroleerde gegevens in het geheugen buiten de toegewezen buffer. De fout doet zich voor bij het instellen van de regels 'dup' en 'fwd' in ketens waarvoor hardwarematige versnelling van pakketverwerking (offload) wordt toegepast. Aangezien de overloop plaatsvindt vĆ³Ć³r het aanmaken van de pakketfilterregel en de controle op offload-ondersteuning, is de kwetsbaarheid ook van toepassing op netwerkapparaten die geen hardwarematige versnelling ondersteunen, zoals de loopback-interface.
Er wordt opgemerkt dat het probleem relatief eenvoudig te exploiteren is, omdat waarden die buiten de buffer reiken de pointer naar de net_device-structuur kunnen overschrijven, en de gegevens van de overschreven waarde terugkeren naar de gebruikersruimte, waardoor de benodigde geheugenadres voor de aanval bekend worden. Voor het exploiteren van de kwetsbaarheid is het creƫren van bepaalde regels in nftables vereist, wat alleen mogelijk is met CAP_NET_ADMIN-privileges, die kunnen worden verkregen door een niet-privilegede gebruiker in een aparte netwerknamespace. De kwetsbaarheid kan ook worden gebruikt voor aanvallen op containersystemen.
Bron: opennet.ru
