CVE-2024-26642 : ensemble anonyme avec drapeau de timeout dans nf_tables de Linux

Concepts Clés et Termes

nf_tables set

Structure du noyau contenant des adresses, ports ou autres clés que les règles nftables comparent ; créée par un message netlink NFT_MSG_NEWSET et traitée par nf_tables_newset().

Ensemble anonyme (NFT_SET_ANONYMOUS)

Ensemble sans nom, comme { 22, 80 } écrit directement dans une règle. Il est lié à cette seule règle et détruit avec elle dans la même transaction.

NFT_SET_TIMEOUT

Drapeau qui donne aux éléments de l'ensemble une date d'expiration. Les éléments expirés sont retirés par le ramasse-miettes de l'ensemble.

NFT_SET_EVAL

Drapeau des ensembles mis à jour depuis le chemin des paquets, utilisé par les instructions meter historiques. Le correctif garde anonyme + timeout + eval autorisé pour elles.

CAP_NET_ADMIN dans un user namespace

nf_tables accepte la configuration de tout processus détenant CAP_NET_ADMIN dans son namespace réseau, ce qu'un utilisateur non privilégié obtient en créant un user namespace là où la distribution le permet.

Analyse de Cause Racine

nf_tables_newset() dans net/netfilter/nf_tables_api.c ne vérifiait dans les drapeaux de l'ensemble que les bits inconnus et les conflits MAP+OBJECT et EVAL+OBJECT. Elle acceptait NFT_SET_ANONYMOUS | NFT_SET_TIMEOUT : un ensemble dont la durée de vie est liée à une seule règle et à une transaction pouvait donc aussi avoir des éléments qui expirent et sont récupérés par le ramasse-miettes. L'espace utilisateur ne produit jamais cette combinaison et le code de gestion de durée de vie n'a pas été conçu pour elle. Le correctif amont la refuse avec -EOPNOTSUPP, sauf si NFT_SET_EVAL est aussi présent. Le dossier public ne détaille pas l'erreur mémoire qui en découle ; le NIST la note 7.8 (confidentialité, intégrité et disponibilité élevées), la CNA du noyau 5.5 (disponibilité seule).

Déroulement de l'Attaque Étape par Étape