阿里云首页> 安全公告> 【漏洞通告】Linux Netfilter本地权限提升漏洞POC公开(CVE-2021-22555)

【漏洞通告】Linux Netfilter本地权限提升漏洞POC公开(CVE-2021-22555)

2021年7月16日,阿里云应急响应中心监测到国外安全研究员公开了CVE-2021-22555 Linux Netfilter提权漏洞分析及其相关POC。


漏洞描述

Linux Netfilter模块是内核中用于管理网络数据包的一个软件框架,被人熟知的 iptables,nftables等工具均是基于 Netfilter开发。2021年7月16日,国外安全研究员公开了CVE-2021-22555 Linux Netfilter提权漏洞分析及其相关POC,该漏洞在kCTF中被用于攻击kubernetes pod容器并实现虚拟化逃逸。阿里云应急响应中心提醒 Linux 用户尽快采取安全措施阻止漏洞攻击。


漏洞细节:公开

漏洞POC:公开

漏洞EXP:公开

在野利用:未知


漏洞评级

CVE-2021-22555 Linux Netfilter本地权限提升漏洞 高危


影响版本

Linux Kernel >= 2.6.19 且 < 5.12,5.10.31,5.4.113,4.19.188,4.14.231,4.9.267,4.4.267

Linux kernel-netfilter commit < b29c457a6511435960115c0f548c4360d5f4801d

debain stretch < 4.9.228-1

debain buster < 4.19.171-2


安全版本

Linux Kernel >= 5.12,5.10.31,5.4.113,4.19.188,4.14.231,4.9.267,4.4.267

Linux kernel-netfilter commit >= b29c457a6511435960115c0f548c4360d5f4801d

debain stretch >= 4.9.228-1

debain buster >= 4.19.171-2


安全建议

1、根据影响及其安全版本排查并升级到安全版本。若您的ECS实例操作系统为Alibaba Cloud Linux 2,具体修复方案请参见《Alibaba Cloud Linux 2系统的CVE-2021-22555安全漏洞内核热补丁修复方案》

2、若暂无法升级,可通过禁用非特权用户执行CLONE_NEWUSER、CLONE_NEWNET以进行缓解。

echo 0 > /proc/sys/user/max_user_namespaces


相关链接

https://google.github.io/security-research/pocs/linux/cve-2021-22555/writeup.html


我们会关注后续进展,请随时关注官方公告。

如有任何问题,可随时发送邮件至alicloud-vul@alibabacloud.com

阿里云应急响应中心

2021.7.16