more-kohii/cve-2022-1015Linux Kernel 1-Day Analyse & Exploitation
In der Funktion nft_parse_register wird keine Überprüfung durchgeführt, wenn das Argument in den Default-Fall fällt, was zu einem Out-of-Bounds (OOB) auf dem Stack der Funktion nft_do_chain führt.
Dabei kann man mit dem Payload-Ausdruck sowohl Lese- als auch Schreiboperationen durchführen.
Der Payload verhält sich wie folgt:
Das bedeutet, dass man durch geeignete Anpassung des Indexes OOB-Lese- und Schreiboperationen auf dem Stack durchführen kann.
Allerdings gibt es eine Funktion, die die Regs validiert.
default:
if (reg < NFT_REG_1 * NFT_REG_SIZE / NFT_REG32_SIZE)
return -EINVAL;
if (len == 0)
return -EINVAL;
if (reg * NFT_REG32_SIZE + len >
sizeof_field(struct nft_regs, data))
return -ERANGE;
if (data != NULL && type != NFT_DATA_VALUE)
return -EINVAL;
return 0;
Aus dem obigen Code geht hervor, dass die Bedingung reg * NFT_REG32_SIZE + len > sizeof_field(struct nft_regs, data) erfüllt sein muss.
Wenn man die Konstanten einsetzt, muss reg * 4 + len > 80 erfüllt sein.
Das heißt, man muss die Länge len entsprechend an reg anpassen.
nft_regs
struct nft_regs {
union {
u32 data[20];
struct nft_verdict verdict;
};
};
nft_do_chain
unsigned int
nft_do_chain(struct nft_pktinfo *pkt, void *priv)
{
const struct nft_chain *chain = priv, *basechain = chain;
const struct net *net = nft_net(pkt);
struct nft_rule *const *rules;
const struct nft_rule *rule;
const struct nft_expr *expr, *last;
struct nft_regs regs;
...
}
nft_parse_register
static unsigned int nft_parse_register(const struct nlattr *attr)
{
unsigned int reg;
reg = ntohl(nla_get_be32(attr));
switch (reg) {
case NFT_REG_VERDICT...NFT_REG_4:
return reg * NFT_REG_SIZE / NFT_REG32_SIZE;
default:
return reg + NFT_REG_SIZE / NFT_REG32_SIZE - NFT_REG32_00;
}
}