cve-2019-15666 xfrm_policy

最新推荐文章于 2025-10-28 11:34:13 发布

原创

最新推荐文章于 2025-10-28 11:34:13 发布 · 1.2k 阅读

本文揭示了一个存在于Linux内核XFRM模块中的数组越界漏洞，通过精心构造的输入，攻击者可绕过权限检查，触发使用后释放(UAF)漏洞，进一步导致提权。漏洞涉及XFRM_MSG_NEWSA请求处理中的policy插入流程，以及xfrm_policy_id2dir函数中的方向计算错误。利用过程中，结合堆喷和用户故障注入技术，实现了对特定内存位置的零字节写入，从而修改了cred结构体中的suid字段，完成提权。

这个漏洞比较强，官方说明漏洞只会导致拒绝服务攻击，但实际上利用得当可以实现提权。影响范围3.x-5.x

漏洞成因，数组越界。需要插入用户定义的 index timer set。
XFRM_MSG_NEWSA请求的路劲添加policy。

添加policy需要通过verify_newpolicy_info的认证。但漏洞版本认证缺陷。
https://duasynt.com/blog/ubuntu-centos-redhat-privesc

static int xfrm_add_policy(struct sk_buff *skb, struct nlmsghdr *nlh,
struct nlattr **attrs)
{
   
   
struct net *net = sock_net(skb->sk);
struct xfrm_userpolicy_info *p = nlmsg_data(nlh);
struct xfrm_policy *xp;
struct km_event c;
int err;
int excl;
err = verify_newpolicy_info(p); [1]
if (err)
return err;
err = verify_sec_ctx_len(attrs);
if (err)
return err;
c 2020 DUASYNT Pty Ltd Page 1 of 6Technical report: 01-0311-2018 rev 0.2
xp = xfrm_policy_construct(net, p, attrs, &err);
if (!xp)
return err;
excl = nlh->nlmsg_type == XFRM_MSG_NEWPOLICY;
err = xfrm_policy_insert(p->dir, xp, excl); [2]
xfrm_audit_policy_add(xp, err ? 0 : 1, true);
...

static int verify_newpolicy_info(struct xfrm_userpolicy_info *p)
{
   
   
...
ret = verify_policy_dir(p->dir); [3]
if (ret)
return ret;
if (p->index && ((p->index & XFRM_POLICY_MAX) != p->dir)) [4]
return -EINVAL;
return 0;
}

甚至在3.0版本中，根本没有检测。

static int verify_policy_dir(u8 dir)
{
   
   
	switch (dir) {
   
   
	case XFRM_POLICY_IN:
	case XFRM_POLICY_OUT:
	case XFRM_POLICY_FWD:
		break;

	default:
		return -EINVAL;
	}

	return 0;
}