Nínú Netfilter, ètò kékeré kan wà nínú ẹ̀rọ Kernel LinuxA ti ṣe àfihàn àìlera kan (CVE-2022-25636) nínú ohun èlò àtúnṣe àti àtúnṣe ìsopọ̀ nẹ́tíwọ́ọ̀kì kan tí ó fúnni láyè láti ṣe ìṣiṣẹ́ kódì ipele kernel. A ti kéde àpẹẹrẹ ìlòkulò kan tí ó lè jẹ́ kí olùlò agbègbè kan mú àǹfààní wọn pọ̀ sí i. Ubuntu 21.10 pẹ̀lú ẹ̀rọ ààbò KASLR tí a ti parẹ́. Ìṣòro náà ti wà láti ìgbà kernel 5.4. Àtúnṣe kan wà lọ́wọ́lọ́wọ́ gẹ́gẹ́ bí àtúnṣe (a kò tíì ṣẹ̀dá àwọn ìtújáde ìtọ́jú kernel). O lè tọ́pasẹ̀ àwọn ìtújáde ìmúdájú nínú àwọn ìpínkiri lórí àwọn ojú ìwé wọ̀nyí: Debian, SUSE, Ubuntu, RHEL, Fedora, Gentoo, Arch Linux.
Ailagbara naa jẹ idi nipasẹ aṣiṣe ni iṣiro iwọn sisan->ofin->action.awọn titẹ sii inu iṣẹ nft_fwd_dup_netdev_offload (ti a ṣalaye ninu faili net/netfilter/nf_dup_netdev.c), eyiti o le ja si data iṣakoso-akolu ti jije. ti a kọ si agbegbe iranti ni ikọja aala ti ifipamọ ti a sọtọ. Aṣiṣe naa han nigbati atunto awọn ofin “dup” ati “fwd” ni awọn ẹwọn fun eyiti isare ohun elo ti sisẹ soso (offload) ti lo. Niwọn igba ti iṣan omi ti nwaye ṣaaju ṣiṣẹda ofin àlẹmọ soso kan ati ṣayẹwo fun atilẹyin piparẹ, ailagbara naa tun kan awọn ẹrọ nẹtiwọọki ti ko ṣe atilẹyin isare ohun elo, gẹgẹ bi wiwo loopback.
O ṣe akiyesi pe iṣoro naa jẹ ohun ti o rọrun lati lo nilokulo, nitori awọn iye ti o kọja ifipamọ le ṣe atunkọ atọka si eto net_device, ati data nipa iye atunkọ ti pada si aaye olumulo, eyiti o fun ọ laaye lati wa awọn adirẹsi naa. ni iranti pataki lati gbe jade ni kolu. Lilo ailagbara nilo ẹda awọn ofin kan ninu awọn nftables, eyiti o ṣee ṣe nikan pẹlu awọn anfani CAP_NET_ADMIN, eyiti o le gba nipasẹ olumulo ti ko ni anfani ni awọn aaye orukọ nẹtiwọọki lọtọ. Ailagbara naa tun le ṣee lo lati kọlu awọn eto ipinya eiyan.
orisun: opennet.ru
