Annonce de vulnérabilité | Vulnérabilité d'élévation de privilèges locale dans Linux Netfilter (CVE-2021-22555) -

Une vulnérabilité d'élévation de privilèges locale (CVE-2021-22555) a récemment été découverte dans le module Linux Netfilter. Cette faille a été exploitée dans kCTF pour attaquer les conteneurs de pods Kubernetes et permettre une évasion de conteneur. La CVE-2021-22555 présente des risques élevés. Nous vous recommandons de la détecter et de la corriger dès que possible.

Vulnérabilité détectée

ID CVE : CVE-2021-22555
Gravité : Élevée
Versions concernées : versions du noyau Linux 2.6.19(9fa492cdc160cd27ce1046cb36f47d3b2b1efa21) et ultérieures
Les images ECS affectées incluent :
- Alibaba Cloud Linux 2/3
- CentOS 7/8
- RedHat 7/8
- Ubuntu 14/16/18/20
- Debian 8/9/10
- SUSE Linux Enterprise Server 12/15
- OpenSUSE 42.3/15

Détails

Le module Linux Netfilter présente une vulnérabilité d'écriture hors limites dans le tas (heap) lors du traitement de l'option IPT_SO_SET_REPLACE (ou IP6T_SO_SET_REPLACE) setsockopt. Cette faille permet à un utilisateur local d'élever ses privilèges via un espace de noms utilisateur. La vulnérabilité a été exploitée dans kCTF pour réaliser une évasion de conteneur depuis des pods Kubernetes et est présente dans le code du noyau Linux depuis 15 ans.

Recommandations de sécurité

mettez à niveau le noyau Linux vers l'une des versions corrigées répertoriées ci-dessous.

5.12(b29c457a6511435960115c0f548c4360d5f4801d)
5.10.31
5.4.113
4.19.188
4.14.231
4.9.267
4.4.267

Mesure d'atténuation temporaire fournie par Red Hat :

Pour atténuer cette vulnérabilité, exécutez la commande suivante afin d'empêcher les utilisateurs non privilégiés d'utiliser CLONE_NEWUSER et CLONE_NEWNET.

echo 0 > /proc/sys/user/max_user_namespaces

Références

Publié par

Alibaba Cloud Computing Co., Ltd.