Linux カーネルにおける DCCP プロトコルの IPV6 実装での use-after-free (解放済みメモリー使用) - CVE-2017-6074

Red Hat セキュリティーレスポンスチームは、Linux カーネルの DCCP プロトコル IPV6 の実装に影響する脆弱性を認識しており、この脆弱性は CVE-2017-6074 で対応されています。この問題は 2017 年 2 月 20 日 に公開され、重要な影響 と評価されています。

背景情報

DCCP は、プログラマーがアプリケーション層でネットワーク輻輳設定を制御できるようにするためのレイヤー4 (トランスポート層) プロトコルです。このプロトコルは IP をレイヤー 3 (ネットワーク層) プロトコルとして使用するため、インターネット全体でルーティング可能です。そのため、DCCP は IPV4 ベースのシステムと IPV6 ベースのシステムの両方で動作することを目的としています。この脆弱性は IPV6 ベースの DCCP 接続を明示的に使用して悪用されます。

DCCP は内部のステートマシンを使用して接続を把握します。このような状況で、ソケットが LISTEN 状態にある場合、DCCP のステートマシンが DCCP_PKT_REQUEST データ構造を誤って処理します。これにより、ネットワークに接続された同じノード上のクライアントとサーバーの両方を制御できるローカルユーザーによって「Use After Free」の状態が引き起こされる可能性があります。接続が確立されると、skbuff と呼ばれるデータ構造が接続ごとに作成されます。skbuff の最後には、skb_shared_info という別の struct があり、struct ubuf_info が含まれます。この struct には、skb がクリーンアップされるときに呼び出される関数ポインターが含まれます。skbuff のメモリーが解放された後に、この ubuf_info struct のコールバック関数が呼び出されるとエラー状態になります。この状態になると、攻撃者は悪意のある命令でメモリーを上書きし、解放時と 2 回目の不正使用時との間に関数ポインターの値を悪用することができます。

この攻撃を実行するには、サーバーとクライアントの両方が同じシステムで実行され、sk_shared_info struct への参照が解放後も可能である必要があります。

謝辞

Red Hat は、この問題を報告し、支援してくださった Andrey Konovalov 氏に謝意を表します。

Red Hat セキュリティーレスポンスチームは、本件によるセキュリティー上の影響度を重要な影響と評価しています。

影響を受ける製品

Red Hat 製品の次のバージョンに影響します。

• Red Hat Enterprise Linux 5
• Red Hat Enterprise Linux 6
• Red Hat Enterprise Linux 7
• Red Hat Enterprise MRG 2
• Red Hat Openshift Online v2
• Red Hat Virtualization (RHEV-H/RHV-H)
• RHEL Atomic Host 

攻撃の詳細と影響

この不具合では、ローカルシステムのアカウントを持つ攻撃者による特権昇格が可能になります。このような脆弱性は通常 UAF (Use After Free) と呼ばれ、以前に行われた free() 操作が原因で使用中の割り当てを参照しなくなったポインターを介してメモリーにアクセスするコードパスを実行して悪用されます。この問題では、DCCP ネットワーキングコードに不具合があり、十分なアクセス権限を持つ悪意のあるユーザーはそのコードにアクセスし、すべてのローカルインターフェース上で DCCP ネットワーク接続を開始できます。実際に悪用されると、ホストカーネルのクラッシュやホストカーネルのコンテキスト内のコードの実行、カーネルメモリー構造の変更によるその他の特権の昇格が生じる可能性があります。攻撃者はシステムのローカルアカウントにアクセスできなければなりません。これはリモート攻撃ではなく、IPV6 のサポートが有効である必要があります。

脆弱性の診断