Linux Netfilter 權限提升漏洞（CVE-2021-22555）預警

一、漏洞情況

近日，互聯網公開了Linux Netfilter權限提升漏洞的POC及EXP，相關CVE編號：CVE-2021-22555。該漏洞在kCTF中被用于攻擊kubernetes pod容器實現虛擬化逃逸，該漏洞已在Linux內核代碼中存在15年。目前官方已發布安全版本修復該漏洞，建議受影響用戶盡快更新至安全版本進行防護，做好資產自查以及預防工作，以免遭受黑客攻擊。

二、漏洞等級

高危

三、漏洞描述

Netfilter是Linux 2.4.x引入的一個子系統，它作為一個通用的、抽象的框架，提供一整套的hook函數的管理機制，使得諸如數據包過濾、網絡地址轉換(NAT)和基于協議類型的連接跟蹤成為了可能。

Linux Netfilter模塊在實現IPT_SO_SET_REPLACE（或IP6T_SO_SET_REPLACE）setsockopt時存在堆越界寫入漏洞，本地攻擊者通過該漏洞實現權限提升。

四、影響范圍

Linux Kernel >= 2.6.19

五、安全建議

1. 漏洞修復建議

建議受影響的用戶及時升級 Linux 內核到安全版本。

2. 臨時緩解措施：

根據RedHat建議，用戶可通過以下命令禁止非特權用戶執行CLONE_NEWUSER、CLONE_NEWNET來緩解該漏洞帶來的影響：

echo 0 > /proc/sys/user/max_user_namespaces 

六、參考鏈接

https://github.com/google/security-research/security/advisories/GHSA-xxx5-8mvq-3528