CVE-2024-50038

Linux nüvəsində aşağıdakı zəiflik aradan qaldırılıb: netfilter: xtables: lazım olduğu yerlərdə NFPROTO_UNSPEC istifadəsindən qaçınmaq syzbot ebtables vasitəsilə xt_cluster uyğunlaşdırmasını çağırmağı bacarmışdır: WARNING: CPU: 0 PID: 11 at net/netfilter/xt_cluster.c:72 xt_cluster_mt+0x196/0x780 [..] ebt_do_table+0x174b/0x2a40 Modul NFPROTO_UNSPEC üçün qeydiyyatdan keçir, lakin onun ipv4/ipv6 paket emalı həyata keçirdiyi fərz edilir. Bu, yalnız lokal olaraq sonlanan TCP/UDP trafikini məhdudlaşdırmaq üçün faydalı olduğundan, bunu yalnız ipv4 və ipv6 ailələri üçün qeydiyyatdan keçirin. Pablo bunun ümumi bir problem olduğunu qeyd edir; set/getsockopt interfeysinin birbaşa istifadəçiləri yalnız ip(6)tables ilə istifadə üçün nəzərdə tutulmuş hədəfləri/uyğunlaşdırmaları çağıra bilərlər. Bənzər problemlər üçün bütün UNSPEC uyğunlaşdırmalarını və hədəflərini yoxlayın: - skb_network_header()-in etibarlı olduğu fərz edilmədiyi təqdirdə uyğunlaşdırmalar və hədəflər qaydasındadır -- bu, yalnız inet layəsindən çağırıldıqda doğrudur: ip(6) steki ip/ipv6 başlığını xətti məlumat sahəsinə çəkir. - XT_CONTINUE və ya digər xtables qərarlarını qaytaran hədəflər də məhdudlaşdırılmalıdır, onlar ebtables traverseri ilə uyğunsuzdur, məsələn, EBT_CONTINUE, XT_CONTINUE-dan tamamilə fərqli bir dəyərdir. Əksər uyğunlaşdırmalar/hədəflər ip(6)tables tərəfindən istifadə üçün təmin edildikdəyi üçün NFPROTO_IPV4/IPV6 üzrə qeydiyyatdan keçmək üçün dəyişdirilmişdir. MARK hədəfi həmçinin arptables tərəfindən istifadə olunur, buna görə də onu NFPROTO_ARP üçün də qeydiyyatdan keçirin. Eyni zamanda, əgər connbytes müvafiq conntrack ailəsini aktivləşdirə bilmirsə, prosesi dayandırın. Bu dəyişiklik iptables.git-dəki özünütestlərdən uğurla keçmişdir.