Aviso de vulnerabilidade | Vulnerabilidade de escalonamento local de privilégios no Linux Netfilter (CVE-2021-22555) - : Central de Documentação do Alibaba Cloud

Uma vulnerabilidade de escalonamento local de privilégios (CVE-2021-22555) foi descoberta recentemente no módulo Linux Netfilter. Essa falha foi explorada no kCTF para atacar contêineres de pods do Kubernetes e obter escape de contêiner. A CVE-2021-22555 apresenta alto risco. Recomendamos detectá-la e corrigi-la o mais rápido possível.

Vulnerabilidade detectada

ID da CVE: CVE-2021-22555
Gravidade: Alta
Versões afetadas: versões do kernel Linux 2.6.19(9fa492cdc160cd27ce1046cb36f47d3b2b1efa21) e posteriores
Imagens ECS afetadas incluem:
- Alibaba Cloud Linux 2/3
- CentOS 7/8
- RedHat 7/8
- Ubuntu 14/16/18/20
- Debian 8/9/10
- SUSE Linux Enterprise Server 12/15
- OpenSUSE 42.3/15

Detalhes

O módulo Linux Netfilter apresenta uma vulnerabilidade de gravação fora dos limites no heap no tratamento da opção setsockopt IPT_SO_SET_REPLACE (ou IP6T_SO_SET_REPLACE). Essa falha permite que um usuário local escale privilégios por meio de um namespace de usuário. Presente no código do kernel Linux há 15 anos, a vulnerabilidade foi explorada no kCTF para escapar de contêineres em pods do Kubernetes.

Recomendações de segurança

atualize o kernel Linux para uma versão corrigida listada abaixo.

5.12(b29c457a6511435960115c0f548c4360d5f4801d)
5.10.31
5.4.113
4.19.188
4.14.231
4.9.267
4.4.267

Mitigação temporária fornecida pela Red Hat:

Para mitigar essa vulnerabilidade, execute o comando a seguir e impeça que usuários sem privilégios usem CLONE_NEWUSER e CLONE_NEWNET.

echo 0 > /proc/sys/user/max_user_namespaces

Referências

Anunciado por

Alibaba Cloud Computing Co., Ltd.