CVE-2022-1015

根因

在 nft_parse_register 函数中，当 arg 以 default 方式传递时未进行验证，导致 nft_do_chain 函数的栈上发生 OOB（越界）漏洞。

此时利用 payload expression 可以同时进行读和写操作。

payload 的行为如下所示。

也就是说，通过适当调整索引，可以在栈上进行 OOB 读和写操作。

但是，regs 存在一个进行验证的函数。

default:
		if (reg < NFT_REG_1 * NFT_REG_SIZE / NFT_REG32_SIZE)
			return -EINVAL;
		if (len == 0)
			return -EINVAL;
		if (reg * NFT_REG32_SIZE + len >
		    sizeof_field(struct nft_regs, data))
			return -ERANGE;

		if (data != NULL && type != NFT_DATA_VALUE)
			return -EINVAL;
		return 0;

查看上述代码，必须满足 reg * NFT_REG32_SIZE + len > sizeof_field(struct nft_regs, data) 的条件。

代入常量后，就是 reg * 4 + len > 80，满足这个条件即可。

也就是说，需要根据 reg 适当调整 len。

参考的源代码

• nft_regs

  root@kitploit:~

  struct nft_regs {
  	union {
  		u32			data[20];
  		struct nft_verdict	verdict;
  	};
  };
  

• nft_do_chain

  root@kitploit:~

  unsigned int
  nft_do_chain(struct nft_pktinfo *pkt, void *priv)
  {
  	const struct nft_chain *chain = priv, *basechain = chain;
  	const struct net *net = nft_net(pkt);
  	struct nft_rule *const *rules;
  	const struct nft_rule *rule;
  	const struct nft_expr *expr, *last;
  	struct nft_regs regs;
  	...
  }
  

• nft_parse_register

  root@kitploit:~

  static unsigned int nft_parse_register(const struct nlattr *attr)
  {
  	unsigned int reg;
  
  	reg = ntohl(nla_get_be32(attr));
  	switch (reg) {
  	case NFT_REG_VERDICT...NFT_REG_4:
  		return reg * NFT_REG_SIZE / NFT_REG32_SIZE;
  	default:
  		return reg + NFT_REG_SIZE / NFT_REG32_SIZE - NFT_REG32_00;
  	}
  }