CVE-2022-2078: переполнение буфера в nft_set_desc_concat_parse() ядра Linux
В ядре Linux обнаружена уязвимость переполнения буфера в функции nft_set_desc_concat_parse() подсистемы netfilter. Эксплуатация позволяет атакующему вызвать отказ в обслуживании, а в некоторых сценариях — выполнить произвольный код. Проблема затрагивает системы с nftables и требует приоритетного внимания администраторов.
Подробности
Согласно описанию CVE, в функции nft_set_desc_concat_parse() выявлена ошибка, приводящая к переполнению буфера. Атакующий может инициировать переполнение и тем самым вызвать отказ в обслуживании (denial of service), а также, при определённых условиях, добиться выполнения произвольного кода. Запись CVE не содержит сведений о конкретных версиях ядра, затронутых продуктах и оценке CVSS, поэтому для уточнения периметра риска необходимо руководствоваться рекомендациями вендоров дистрибутивов и данными национальных баз уязвимостей. Также в официальном описании не приводятся детали о том, требуется ли атакующему локальный доступ или эксплуатировать уязвимость можно удалённо — это следует уточнять в бюллетенях поставщиков. Отдельно стоит отметить, что функции семейства nft_set_desc_concat* относятся к обработке описаний конкатенаций в наборах nftables. Ошибки в подобных участках кода традиционно опасны, поскольку они обрабатывают данные, поступающие из пространства пользователя при конфигурировании правил, и могут затрагивать как стабильность системы, так и её целостность.Что делать
Основная рекомендация — как можно скорее установить обновления ядра Linux, выпущенные производителями ваших дистрибутивов. Поскольку CVE-2022-2078 относится к 2022 году, актуальные патчи уже включены в поддерживаемые ветки ядра и в обновления безопасности большинства дистрибутивов; проверьте наличие свежих версий пакетов ядра в используемых вами репозиториях. Если немедленное обновление невозможно, рассмотрите компенсирующие меры: ограничьте возможность непривилегированных пользователей работать с nftables и загружать конфигурации правил, сократите число локальных учётных записей с повышенными правами, а также применяйте механизмы изоляции (контейнеры, ограничение возможностей через capabilities). Дополнительно стоит усилить мониторинг: события, связанные с аварийным завершением процессов или нестабильностью ядра, могут указывать на попытки эксплуатации.Источник: CVE Project (cvelistV5)