В ядре Linux устранена следующая уязвимость:
netfilter: cttimeout: отсоединить политику тайм-аута плоскости данных и переназначить счетчик ссылок. Добавьте счетчик ссылок для структуры nf_ct_timeout, которая используется расширением ct для
установите пользовательскую политику тайм-аута ct, это говорит нам, что тайм-аут ct
используется записью conntrack. Когда последняя запись conntrack удаляет
refcount на таймауте ct, таймаут ct освобождается.
Удалите счетчик ссылок для плоскости управления, которая контролирует, если набор правил
относится к политике тайм-аута. После этого обновления можно
немедленно удалите политику тайм-аута ct из nfnetlink_cttimeout. Это сделано для простоты, чтобы не обрабатывать два счетчика ссылок на один объект.
Удалите nf_queue_nf_hook_drop(): пакет, находящийся в nfqueue, просто
удерживать ссылку на объект nf_ct_timeout до тех пор, пока пакет не будет повторно введен,
поскольку это часть расширения ct, оно будет выпущено
время, когда контрек освобождается.
nf_ct_untimeout() по-прежнему вызывается для очистки в максимально возможном порядке:
тайм-аут ct для существующих записей удаляется, когда истекает тайм-аут ct
нет, но пока набор правил iptables все еще ссылается на таймаут ct
через шаблон новые коннтреки могут продолжать прикреплять его и расширять его
срок действия до тех пор, пока правило не будет удалено.
nf_ct_untimeout() больше не вызывается из пути удаления модуля, это
вряд ли найдет таймауты, поскольку счетчик ссылок модуля сбит, и новый
refcount уже отслеживает использование политики таймаута ct, поэтому он освобождается, когда
неиспользованный.
Показать оригинальное описание (EN)
In the Linux kernel, the following vulnerability has been resolved: netfilter: cttimeout: detach dataplane timeout policy and repurpose refcount Add a refcount for struct nf_ct_timeout which is used by ct extension to set the custom ct timeout policy, this tells us that the ct timeout is being used by a conntrack entry. When the last conntrack entry drops the refcount on the ct timeout, the ct timeout is released. Remove the refcount for control plane which controls if the ruleset refers to the timeout policy. After this update, it is possible to remove the ct timeout policy from nfnetlink_cttimeout immediately. This is for simplicity not to handle two refcounts on a single object. Remove nf_queue_nf_hook_drop(): a packet sitting in nfqueue will just hold a reference to the nf_ct_timeout object until packet is reinjected, since this is part of the ct extension, this will be released by the time the conntrack is freed. nf_ct_untimeout() is still called to clean up in a best effort basis: the ct timeout on existing entries gets removed when the ct timeout goes away, but as long as the iptables ruleset still refers to the ct timeout through a template, new conntracks may keep attaching it and extend its lifetime until the rule is removed. nf_ct_untimeout() is not called anymore from module removal path, this is unlikely to find timeouts give module refcount is bumped, and the new refcount already tracks the ct timeout policy use so it is released when unused.
Характеристики атаки
Последствия
Строка CVSS v3.1