Kernkonzepte & Begriffe

nf_tables set

Kernel-Datenstruktur mit Adressen, Ports oder anderen Schlüsseln, gegen die nftables-Regeln prüfen; angelegt per Netlink-Nachricht NFT_MSG_NEWSET und verarbeitet von nf_tables_newset().

Anonymes Set (NFT_SET_ANONYMOUS)

Ein unbenanntes Set wie { 22, 80 }, das direkt in einer Regel steht. Es ist an genau diese Regel gebunden und wird in derselben Transaktion mit ihr zerstört.

NFT_SET_TIMEOUT

Flag, das Set-Elementen eine Ablaufzeit gibt. Abgelaufene Elemente entfernt die Garbage Collection des Sets.

NFT_SET_EVAL

Flag für Sets, die aus dem Paketpfad aktualisiert werden, genutzt von alten meter-Anweisungen. Der Fix lässt anonym + Timeout + Eval für sie weiter zu.

CAP_NET_ADMIN in einem User-Namespace

nf_tables nimmt Konfiguration von jedem Prozess mit CAP_NET_ADMIN in seinem Netzwerk-Namespace an. Ein unprivilegierter Benutzer erhält dieses Recht, indem er einen User-Namespace anlegt, sofern die Distribution das erlaubt.

Ursachenanalyse

nf_tables_newset() in net/netfilter/nf_tables_api.c prüfte die Set-Flags nur auf unbekannte Bits und auf die Konflikte MAP+OBJECT und EVAL+OBJECT. NFT_SET_ANONYMOUS | NFT_SET_TIMEOUT wurde akzeptiert, sodass ein Set, dessen Lebensdauer an eine einzige Regel und Transaktion gebunden ist, zusätzlich Elemente haben konnte, die ablaufen und von der Garbage Collection eingesammelt werden. Userspace erzeugt diese Kombination nie, und der Lebensdauer-Code war nicht dafür ausgelegt. Der Upstream-Fix lehnt sie mit -EOPNOTSUPP ab, sofern nicht zusätzlich NFT_SET_EVAL gesetzt ist. Den daraus folgenden Speicherfehler beschreibt die öffentliche Dokumentation nicht im Detail; das NIST bewertet ihn mit 7.8 (Vertraulichkeit, Integrität und Verfügbarkeit hoch), die Kernel-CNA mit 5.5 (nur Verfügbarkeit).

Schritt-für-Schritt Angriffsablauf