linux漏洞11年,潜伏11年的Linux内核提权漏洞曝光

漏洞编号：CVE-2017-6074

漏洞概述

Linux内核近日又曝出权限提升漏洞，该漏洞可追溯至2005年，漏洞影响Linux操作系统主要发行版本，包括Redhat、Debian、OpenSUSE和Ubuntu。利用该漏洞，攻击者可以从低权限进程中进行内核代码执行。目前已知受影响的最老版本是2.6.18(2006年9月)，不过该漏洞可能在先前的版本中已经存在，或许从支持DCCP开始(2005年10月的2.6.14)就已经存在问题了。

漏洞详情这是个UAF漏洞：在IPV6_RECVPKTINFO开启的情况下，内核解析DCCP协议的流程中判断已经收到了DCCP_PKT_REQUEST返回包，就会释放解析过程使用的SKB地址。(“DCCP  protocol implementation freed SKB (socket buffer) resources for a  DCCP_PKT_REQUEST packet when the IPV6_RECVPKTINFO option is set on the  socket.”)

按现在的实现，解析DCCP协议的流程中如果dccp_v6_conn_request有返回值，就会通过dccp_rcv_state_process中的__kfree_skb释放掉解析过程中收到了DCCP_PKT_REQUEST返回包的SKB地址。但是，如果IPV6_RECVPKTINFO开启的情况下编译内核，skb地址就会被存储在ireq->pktopts，而dccp_v6_conn_request中的引用计数会增加，这样skb就仍然会被使用。直到dccp_rcv_state_process进程中才会被释放。

攻击者使用某些内核堆喷射技术就能控制任意对象，并用任意数据重写其内容。如果重写过的对象中包含任何可触发的函数指针，攻击者便可在该内核中执行任意代码。

这个漏洞并不是远程代码执行漏洞，所以攻击者必须拥有系统本地账户，才能利用该漏洞。

两个月前，Linux内核也曝出了类似的提权漏洞CVE-2016-8655，该漏洞可以追溯到2011年，低权限本地用户利用Linux内核af_packet实现中的竞争条件，可获得root权限