Linux 内核权限提升漏洞 (CVE-2024-27397) 被利用：PoC 发布

安全研究员 liona24 提供了针对 Linux 内核 netfilter nf_tables 组件漏洞 CVE-2024-27397 的深入分析和概念验证 (PoC) 漏洞代码。该释放后使用漏洞影响 4.1 至 6.8 版本， CVSS评分为 7.0，表明其可能允许本地特权升级。

CVE-2024-27397 根源于对 NFT 集合中元素超时的处理。当这些元素在交易期间过期时，它会触发不对称清理操作，可能导致缺少引用计数更新和使用后释放的情况。此漏洞使本地攻击者能够使系统崩溃或提升权限。

此漏洞存在于 netfilter nf_tables 组件中，可在涉及过期元素的回滚操作期间被利用。此问题具体出现在 nf_tables.h 中定义的 nft_set_elem_expired 函数中。

研究人员详细说明了攻击者如何通过制定特定的交易设置来利用此漏洞：

• 将 NFT_JUMP 判决添加到具有较短到期时间的集合中，从而增加使用计数。

• 在集合过期之前删除它，减少使用次数。

• 执行垃圾操作来延迟该过程，使添加的元素过期。

• 触发无效操作，强制交易中止。

在回滚过程中，过期元素的使用计数不会恢复，从而导致释放后使用的情况。通过操纵引用计数，攻击者可以获得 RIP 控制权，利用释放的链对象进行进一步利用。

该漏洞利用非常可靠，测试表明，绕过地址空间布局随机化 (ASLR) 时的成功率为 90%-100%。

该漏洞是在提交c3e1b005ed1c中引入的，并已在提交7395dfacfff65e9938ac0889dafa1ab01e987d15中修复。强烈建议用户更新到最新的内核版本。

CVE-2024-27397 的完整技术细节和概念验证 (PoC) 漏洞代码可在Github上找到。https://github.com/google/security-research/tree/master/pocs/linux/kernelctf/CVE-2024-27397_mitigation

原文始发于微信公众号（Ots安全）：Linux 内核权限提升漏洞 (CVE-2024-27397) 被利用：PoC 发布