Linux Netfilter 防火墙模块爆新漏洞，攻击者可获取root权限

聚焦源代码安全，网罗国内外最新资讯！

编译：代码卫士

专栏·供应链安全

数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。

随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。

为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。

注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。

该漏洞影响Linux 内核版本 5.4至5.6.10，是由内核中netfilter 子组件中的堆界外读取造成的。该漏洞由Capsule8 公司的研究科学家 Nick Gregory 发现的。

Red Hat 公司在2022年2月22日发布安全公告指出，“该缺陷可导致本地攻击者通过系统上的用户账户获得对界外内存的访问权限，导致系统崩溃或权限提升威胁。”Debian、Oracle Linux、SUSE和Ubuntu 均发布了类似警报。

Netfilter 是由Linux内核提供的框架，可赋能多种和网络相关的操作如数据包过滤、网络地址翻译和端口翻译。

具体而言，CVE-2022-25636和对Netfileter 框架硬件卸载特性的不正确处理有关，它可被本地攻击者滥用于触发拒绝服务或很可能执行任意代码。

Gregory 表示，“尽管位于处理硬件卸载的代码中，但当针对不具有卸载功能的网络设备也可触及该漏洞，因为该漏洞在规则创建失败时会被触发。此外，虽然 nftables 要求CAP_NET_ADMIN，但我们可不共享新的网络名称空间，以将其作为正常的非权限用户。不费太多功夫，就可转为内核[return相关的编程]/本地权限提升，因为界外写的值之一就是net_device 结构的一个指针。”

具体技术分析可见：https://seclists.org/oss-sec/2022/q1/153