UCloud-202107-001:Linux Netfilter本地权限提升漏洞

漏洞描述

2021年7月16日Linux 内核中用于管理网络数据包的一个软件框架Netfilter模块被国外安全研究员公开了CVE-2021-22555 Linux Netfilter提权漏洞分析及其相关POC，而被人熟知的 iptables，nftables等工具均是基于 Netfilter开发影响范围甚广且该漏洞常被用于攻击kubernetes pod容器并实现虚拟化逃逸！

影响版本

debain stretch < 4.9.228-1

debain buster < 4.19.171-2

Linux kernel-netfilter commit < b29c457a6511435960115c0f548c4360d5f4801d

Linux Kernel >= 2.6.19 且 < 5.12，5.10.31，5.4.113，4.19.188，4.14.231，4.9.267，4.4.267

安全版本

Linux Kernel >= 5.12，5.10.31，5.4.113，4.19.188，4.14.231，4.9.267，4.4.267

Linux kernel-netfilter commit >= b29c457a6511435960115c0f548c4360d5f4801d

debain stretch >= 4.9.228-1

debain buster >= 4.19.171-2

安全建议

1、根据影响及其安全版本排查并升级到安全版本

2、若暂无法升级，可通过禁用非特权用户执行CLONE_NEWUSER、CLONE_NEWNET以进行缓解。

3、执行命令： echo 0 > /proc/sys/user/max_user_namespaces