No Netfilter, que faz parte do núcleo do Linux e é usado para filtrar e modificar pacotes de rede, foi identificada uma vulnerabilidade (CVE-2022-25636) que permite a execução de código no nível do núcleo. Foi reportada a preparação de um exemplo de exploit que permite a um usuário local elevar suas permissões no Ubuntu 21.10 com o mecanismo de proteção KASLR desativado. O problema aparece a partir do núcleo 5.4. A correção está disponível temporariamente na forma de um patch (releases corretivas do núcleo ainda não foram lançadas). É possível acompanhar a publicação de atualizações de pacotes nas seguintes páginas: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.
A vulnerabilidade é causada por um erro no cálculo do tamanho do array flow->rule->action.entries na função nft_fwd_dup_netdev_offload (definida no arquivo net/netfilter/nf_dup_netdev.c), que pode levar à gravação de dados controlados pelo atacante em uma área de memória fora do buffer alocado. O erro se manifesta ao configurar regras "dup" e "fwd" em cadeias que aplicam aceleração de hardware para processamento de pacotes (offload). Como o overflow ocorre em um estágio anterior à criação da regra de filtragem de pacotes e à verificação do suporte ao offload, a vulnerabilidade também se aplica a dispositivos de rede que não suportam aceleração de hardware, como a interface de loopback.
Observa-se que o problema é bastante simples de explorar, uma vez que os valores que excedem os limites do buffer podem sobrescrever o ponteiro para a estrutura net_device, e os dados do valor sobrescrito são retornados ao espaço do usuário, permitindo descobrir os endereços necessários na memória para realizar o ataque. Para explorar a vulnerabilidade, é necessário criar regras específicas no nftables, o que é possível apenas com privilégios CAP_NET_ADMIN, que podem ser obtidos por um usuário não privilegiado em um namespace de rede separado. A vulnerabilidade também pode ser usada para ataques em sistemas de isolamento de contêineres.
Fonte: opennet.ru
