Linux/Unix ホストには、ベンダーが提供するパッチが利用できない脆弱性の影響を受ける複数のパッケージがインストールされています。

  - netfilterブリッジマルチキャストパケットをスタックに渡す前に確認します。nf_confirm ロジックは、同じ nf_conn エントリを参照するクローンされた skbs を処理できません。これは、ブリッジ上のマルチキャストブロードキャストフレームで発生します。例: macvlan0 | br0 / \ ethX ethY ethXまたは Yは、IP パケットが含まれる L2 マルチキャストまたはブロードキャストパケットを受信します。フローはまだ conntrack テーブルにありません。 1. skb は、ブリッジと fake-ipbr_netfilterプレルーティングを通過します。 -> skb->_nfct は未確認のエントリ 2 を参照するようになりました。 skb は、broad/mcast パケットです。ブリッジは各ブリッジインターフェイスでクローンをパスするようになりました。 3. skb がスタックを渡されます。 4. macvlan の場合、macvlan ドライバーは mcast skb の clone を保持し、より低いデバイスでそれらを送信するために作業キューをスケジュールします。クローン skb->_nfct はコピーではなく、元の skb と同じエントリです。その後、macvlan rx ハンドラーは RX_HANDLER_PASS を返します。 5. 通常の conntrack フックNF_INET_LOCAL_IN の中は、orig skb を確認します。Macvlan ブロードキャストワーカーと通常の確認パスが競合します。この競合は、ステップ 2 でクローンがすでに確認されている場合には発生しません。その場合、後のステップでは、既に確認されている skb->_nfct で skb_clone() を実行しますハッシュテーブル内。これは問題なく動作します。しかし、そのような確認は、eb/ip/nftables ルールが postrouting の nf_confirm ステップに到達する前にパケットを破棄した場合には発生しません。Pablo 氏は、nf_conntrack_bridge が stateful nat の使用を許可しないため、nf_conn エントリを安全に破棄できることを指摘し、inet に conntrack を再度呼び出させることができます。これは、ブリッジ netfilter では機能しません skb に nat 変換がある可能性があります。
    また、ブリッジ nf は、「sabotage_in」フックを介した inet prerouting の再呼び出しを防止します。上部レイヤーが未確認のエントリをクローンできる前に、LOCAL_IN 時にエントリを明示的に確認することでこの問題を回避します。弱点は、これにより NAT および conntrack ヘルパーが無効になることです。代替の修正は、未確認のパケットを処理するすべてのコード部分にロックを追加することですが、それが健全な方法で行われた場合でも、これにより他の問題が発生します。例えば、-m physdev --physdev-out eth0 -j SNAT --snat-to 1.2.3.4 -m physdev --physdev-out eth1 -j SNAT --snat-to 1.2.3.5 マルチキャストの場合、このような競合するマッピングの 1 つだけが作成され、conntrack は 1:1 NAT マッピングのみを処理します。ユーザーはこれを回避するために、こうしたトラフィック NOTRACKconntrack バイパスを明示的にマークするセットアップを作成するよう設定する必要があります。ただし、それらを自動バイパスすることはできません。ルールセットは追跡されないトラフィックに対するルールをすでに受け入れている場合があるため、ユーザーの目に見える挙動が変わる可能性があります。CVE-2024-27415

Nessus は、ベンダーによって報告されたパッケージの存在に依存していることに注意してください。

検出

Linux Distros のパッチ未適用の脆弱性: CVE-2024-27415

medium Nessus プラグイン ID 227511

バージョン 1.21