Linux çekirdeğinin netfilter alt sisteminde kritik bir güvenlik açığı, yerel saldırganların ayrı bir yazma koşulu yoluyla ayrıcalıkları artırmasına izin veren keşfedilmiştir.
CVE-2024-53141 olarak tanımlanan kusur, IPSET Bitmap işlevselliğini etkiler ve ayrıcalıksız kullanıcıların savunmasız sistemlere kök erişimi kazanmasını sağlayabilir.
| CVE kimliği | CVE-2024-53141 |
| Etkilenen sürümler | Torvalds’ın Linux Çekirdek Deposunda 041BD1E4’e kadar, 6.12.2’ye kadar çekirdek sürümleri dahil |
| Satıcı yanıtı | Linux çekirdek geliştiricileri, güvenlik açığını ele alan bir yama yayınladı |
| Yama taahhüdü | 35F56C554B1B56B7B3CF197A6B0092D49033D |
Teknik Genel Bakış
Güvenlik açığı, iptables ve nftables ile birlikte verimli IP adresi yönetimi için kullanılan Linux çekirdeğinin IPSet alt sisteminde BitMap: IP Set Türü uygulamasında bulunur.
Kusur, net/netfilter/ipset/ipset/ipset/ipset/ipset/ipset içinde bulunan bitmap_ip_uadt işlevinde meydana gelir.
IP aralıkları için CIDR (sınıfsız alanlar arası yönlendirme) gösterimi işlerken, çekirdek uygun sınır kontrolü gerçekleştiremez.
Özellikle, TB[IPSET_ATTR_CIDR] mevcut ama tb[IPSET_ATTR_IP_TO] değil, sistem, elde edilen IP adresinin Map-> First_IP tarafından tanımlanan geçerli Bitmap aralığı içinde kaldığını doğrulamadan IP adresi aralığı hesaplamaları gerçekleştirir.
Bu gözetim, saldırganların Bitmap veri yapısını amaçlanan sınırlarının ötesinde manipüle edebileceği sınır dışı bir yazma koşulu yaratır.
Güvenlik açığı, çekirdek bellek yapılarının değiştirilmesine, kritik sistem verilerinin potansiyel olarak bozulmasına ve ayrıcalık yükseltme saldırılarını mümkün kılar.
Güvenlik araştırmacıları, bu kusurun çekirdek alanında keyfi bellek yazmaları elde etmek için sömürülebileceğini gösterdiler.
Saldırı vektörü, IP-Index hesaplamaları sırasında tamsayı düşük akış koşullarını tetikleyen CIDR aralıklarına sahip özel hazırlanmış IPSet Bitmap konfigürasyonlarının oluşturulmasını içerir.
Güvenlik açığı özellikle ilgilidir, çünkü netfilter özelliklerine erişimi olan yerel ayrıcalıklı kullanıcılar tarafından kullanılabilir, bu da çok kullanıcı sistemleri ve konteyner ortamlarında önemli bir ayrıcalık artış vektörü haline getirir.
Bu güvenlik açığı, Linux tabanlı sistemler, özellikle de ağ güvenlik cihazları, güvenlik duvarları ve netfilter işlevselliğine dayanan konteyner düzenleme platformları için yüksek şiddetli bir risk oluşturmaktadır.
Başarılı sömürü, saldırganların güvenlik kontrollerini atlamasına, yetkisiz idari erişim elde etmesine ve potansiyel olarak tüm sistem altyapılarını tehlikeye atmasına izin verebilir.
Sistem yöneticileri, Linux çekirdeklerini hemen güvenlik yamasını içeren sürümlere güncellemelidir.
Düzeltme, Bitmap: IP alt sistemi içindeki CIDR tabanlı IP aralığı işlemleri için uygun sınır doğrulaması uygular.
Hemen yama yapamayan kuruluşlar, netfilter özelliklerine erişimi kısıtlamayı ve güncellemeler uygulanana kadar şüpheli IPSET işlemleri için sistem günlüklerini izlemeyi düşünmelidir.
Bu haberi ilginç bul! Anında güncellemeler almak için bizi Google News, LinkedIn ve X’te takip edin!