Mitigasi kerentanan CVE-2021-22555 Linux Netfilter privilege escalation - Elastic Compute Service - Alibaba Cloud -

Kerentanan peningkatan hak istimewa lokal (CVE-2021-22555) baru-baru ini ditemukan pada modul Linux Netfilter. Kerentanan ini telah dieksploitasi dalam kCTF untuk menyerang kontainer pod Kubernetes guna mencapai container escape. CVE-2021-22555 berisiko tinggi. Kami menyarankan Anda segera mendeteksi dan memperbaikinya.

Kerentanan yang terdeteksi

ID CVE: CVE-2021-22555
Tingkat Keparahan: Tinggi
Versi yang Terpengaruh: Versi kernel Linux 2.6.19(9fa492cdc160cd27ce1046cb36f47d3b2b1efa21) dan versi setelahnya
Citra ECS yang Terpengaruh meliputi:
- Alibaba Cloud Linux 2/3
- CentOS 7/8
- RedHat 7/8
- Ubuntu 14/16/18/20
- Debian 8/9/10
- SUSE Linux Enterprise Server 12/15
- OpenSUSE 42.3/15

Detail

Modul Linux Netfilter memiliki kerentanan heap out-of-bounds write dalam penanganan opsi setsockopt IPT_SO_SET_REPLACE (atau IP6T_SO_SET_REPLACE). Cacat ini memungkinkan pengguna lokal meningkatkan hak istimewa melalui user namespace. Kerentanan ini telah dieksploitasi dalam kCTF untuk mencapai container escape dari Pod Kubernetes dan telah ada dalam kode kernel Linux selama 15 tahun.

Saran keamanan

lakukan upgrade kernel Linux ke versi yang telah dipatch seperti tercantum di bawah ini.

5.12(b29c457a6511435960115c0f548c4360d5f4801d)
5.10.31
5.4.113
4.19.188
4.14.231
4.9.267
4.4.267

Mitigasi sementara yang disediakan oleh Red Hat:

Untuk mengurangi dampak kerentanan ini, jalankan perintah berikut untuk mencegah pengguna tanpa hak istimewa menggunakan CLONE_NEWUSER dan CLONE_NEWNET.

echo 0 > /proc/sys/user/max_user_namespaces

Referensi

Diumumkan oleh

Alibaba Cloud Computing Co., Ltd.