Sårbarhet i Linux Netfilter-kärnsubsystemet

I Netfilter, Linux-kärnans subsystem som används för filtrering och modifiering av nätverkspaket, har en sårbarhet identifierats (CVE-2021-22555) som gör att en lokal användare kan erhålla root-behörigheter i systemet, även när denne befinner sig i en isolerad container. En fungerande prototyp av en exploit har utvecklats för att kringgå skyddsmekanismerna KASLR, SMAP och SMEP. Forskaren som upptäckte sårbarheten erhöll en belöning från Google på 20 000 dollar för att ha identifierat en metod för att kringgå Kubernetes-containerisolering i kCTF-kluster.

Problemet uppträder från och med kärnan 2.6.19, som släpptes för 15 år sedan, och orsakas av ett fel i handskarna IPT_SO_SET_REPLACE och IP6T_SO_SET_REPLACE, vilket leder till en buffertöverskridning när särskilt utformade parametrar skickas genom anropet setsockopt i kompatibilitetsläge. Under normala förhållanden kan anropet compat_setsockopt() endast utföras av användaren root, men de behörigheter som krävs för att genomföra attacken kan också erhållas av en icke-privilegierad användare i system med aktiverad stöd för användar-namnrymder (user namespaces).

Användaren kan skapa en container med en separat root-användare och utnyttja sårbarheten därifrån. Till exempel är "user namespaces" som standard aktiverat i Ubuntu och Fedora, men inte aktiverat i Debian och RHEL. En patch för att åtgärda sårbarheten antogs i Linux-kärnan den 13 april. Paketuppdateringar har redan tagits fram av projekten Debian, Arch Linux och Fedora. I Ubuntu, RHEL och SUSE är uppdateringar under beredning.

Problemet uppstår i funktionen xt_compat_target_from_user() på grund av felaktig beräkning av minnesstorlek vid lagring av kärnstrukturer efter konvertering från 32-bitars till 64-bitars representation. Felet gör det möjligt att skriva fyra nullbyte till valfri position utanför den tilldelade bufferten, begränsad av förskjutningen 0x4C. Denna möjlighet visade sig vara tillräcklig för att skapa en exploit som möjliggör erhållande av root-behörigheter — genom att rensa pekaren m_list->next i strukturen msg_msg skapades förutsättningar för att få åtkomst till data efter minnesfrigöring (use-after-free), vilket därefter användes för att erhålla information om adresser och ändra andra strukturer genom manipulering med systemanropet msgsnd().

Källa: opennet.ru