2021年7月16日，阿里云应急响应中心监测到国外安全研究员公开了CVE-2021-22555 Linux Netfilter提权漏洞分析及其相关POC。

漏洞描述

Linux Netfilter模块是内核中用于管理网络数据包的一个软件框架，被人熟知的 iptables，nftables等工具均是基于 Netfilter开发。2021年7月16日，国外安全研究员公开了CVE-2021-22555 Linux Netfilter提权漏洞分析及其相关POC，该漏洞在kCTF中被用于攻击kubernetes pod容器并实现虚拟化逃逸。阿里云应急响应中心提醒 Linux 用户尽快采取安全措施阻止漏洞攻击。

漏洞细节：公开

漏洞POC：公开

漏洞EXP：公开

在野利用：未知

漏洞评级

CVE-2021-22555 Linux Netfilter本地权限提升漏洞 高危

影响版本

Linux Kernel >= 2.6.19 且 < 5.12，5.10.31，5.4.113，4.19.188，4.14.231，4.9.267，4.4.267

Linux kernel-netfilter commit < b29c457a6511435960115c0f548c4360d5f4801d

debain stretch < 4.9.228-1

debain buster < 4.19.171-2

安全版本

Linux Kernel >= 5.12，5.10.31，5.4.113，4.19.188，4.14.231，4.9.267，4.4.267

Linux kernel-netfilter commit >= b29c457a6511435960115c0f548c4360d5f4801d

debain stretch >= 4.9.228-1

debain buster >= 4.19.171-2

安全建议

1、根据影响及其安全版本排查并升级到安全版本。若您的ECS实例操作系统为Alibaba Cloud Linux 2，具体修复方案请参见《Alibaba Cloud Linux 2系统的CVE-2021-22555安全漏洞内核热补丁修复方案》

2、若暂无法升级，可通过禁用非特权用户执行CLONE_NEWUSER、CLONE_NEWNET以进行缓解。

echo 0 > /proc/sys/user/max_user_namespaces

相关链接

https://google.github.io/security-research/pocs/linux/cve-2021-22555/writeup.html

我们会关注后续进展，请随时关注官方公告。

如有任何问题，可随时发送邮件至alicloud-vul@alibabacloud.com

阿里云应急响应中心

2021.7.16