CVE-2022-2586
Linux Kernel Use-After-Free Vulnerability
Beschreibung
CVE-2022-2586 ist eine Use-After-Free-Schwachstelle im Linux-Kernel, die im Netfilter-Subsystem (nf_tables) auftritt, wenn ein nft-Objekt oder -Ausdruck auf ein nft-Set in einer anderen nft-Tabelle verweist. Wird die referenzierte Tabelle geloescht, entsteht ein Use-After-Free-Zustand. Die Schwachstelle wird mit einem CVSS-Score von 5.3 (MEDIUM) bewertet und betrifft den Linux-Kernel bis Version 5.19.17 sowie Version 6.0.
Die CISA hat CVE-2022-2586 in den KEV-Katalog aufgenommen, mit einer Behebungsfrist bis zum 2024-07-17. Der EPSS-Score von 2,50 % (85,1. Perzentil) weist auf eine ueberdurchschnittliche Ausnutzungswahrscheinlichkeit hin. Die Schwachstelle erfordert lokalen Zugang mit niedrigen Berechtigungen, ist jedoch fuer lokale Privilegieneskalation auf Root-Rechte nutzbar, was sie besonders gefaehrlich macht.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| linux | linux kernel | >= 3.16, < 4.14.316; >= 4.15, < 4.19.256; >= 4.20, < 5.4.211; >= 5.5, < 5.10.137; >= 5.11, < 5.15.61; >= 5.16, < 5.18.18; >= 5.19, < 5.19.2 |
| canonical | ubuntu linux | 14.04; 16.04; 18.04; 20.04; 22.04 |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-2586(Third Party Advisory)
- https://lore.kernel.org/netfilter-devel/[email protected]/T/#t(Mailing List, Patch)
- https://ubuntu.com/security/notices/USN-5557-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5560-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5560-2(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5562-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5564-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5565-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5566-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5567-1(Third Party Advisory)
- https://ubuntu.com/security/notices/USN-5582-1(Third Party Advisory)
- https://www.openwall.com/lists/oss-security/2022/08/09/5(Mailing List)
- https://www.zerodayinitiative.com/advisories/ZDI-22-1118/(Third Party Advisory, VDB Entry)
- https://www.vicarius.io/vsociety/posts/use-after-free-vulnerability-linked-chain-between-nft-tables-cve-2022-2586(Exploit, Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-2586(US Government Resource)
Schwachstellentyp
Use-After-Free im Netfilter-Subsystem
CVE-2022-2586 ist eine Use-After-Free-Schwachstelle (UAF) im nf_tables-Subsystem des Linux-Kernels. Der Fehler tritt auf, wenn ein nft-Objekt oder -Ausdruck auf ein nft-Set in einer anderen nft-Tabelle verweist. Wird die Tabelle, die das referenzierte Set enthaelt, geloescht, bleibt der Verweis bestehen und zeigt auf bereits freigegebenen Speicher. Ein nachfolgender Zugriff auf diesen Verweis fuehrt zu einem Use-After-Free-Zustand, der fuer Codeausfuehrung im Kernel-Kontext ausgenutzt werden kann.
Diese Art von Schwachstelle faellt in den Bereich von CWE-416 -- Use After Free, bei dem ein Programm nach der Freigabe auf Speicher zugreift, was zu unvorhersehbarem Verhalten, Abstuerzen oder Codeausfuehrung fuehren kann.
Weitere Informationen: CWE-416 -- Use After Free
Auswirkungsanalyse
Die Auswirkungen von CVE-2022-2586 werden durch den CVSS-Score von 5.3 (MEDIUM) nicht vollstaendig erfasst, da die Schwachstelle in der Praxis zur vollstaendigen lokalen Privilegieneskalation genutzt werden kann. Der CVSS-Vektor CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:H beschreibt die formalen Auswirkungen konservativ. Vertraulichkeit (Keine): Der CVSS-Vektor bewertet die Vertraulichkeitsauswirkung als "Keine", obwohl eine erfolgreiche Kernel-Exploit-Kette in der Praxis vollstaendigen Lesezugriff ermoeglichen kann. Integritaet (Niedrig): Formal als niedrig bewertet, kann eine erfolgreiche Ausnutzung jedoch zu einer vollstaendigen Kompromittierung des Systems fuehren. Verfuegbarkeit (Hoch): Der Use-After-Free-Zustand kann den Kernel zum Absturz bringen (Kernel Panic), was zum Ausfall des gesamten Systems und aller darauf laufenden Dienste fuehrt. Der EPSS-Score von 2,50 % (85,1. Perzentil) und die bestaetigt aktive Ausnutzung (KEV) zeigen, dass die Schwachstelle trotz der erhoehten Angriffskomplexitaet (AC:H) erfolgreich in der Praxis ausgenutzt wird. Betroffen sind neben dem Upstream-Kernel auch Ubuntu-Distributionen (14.04 bis 22.04).
Exploit-Reifegrad
CVE-2022-2586 weist eine hohe Exploit-Reife auf. Die CISA hat die aktive Ausnutzung bestaetigt und die Schwachstelle mit einer Behebungsfrist bis zum 2024-07-17 in den KEV-Katalog aufgenommen. Ein detaillierter Exploit-Bericht der Zero Day Initiative (ZDI-22-1118) dokumentiert die Schwachstelle. Zusaetzlich ist eine detaillierte technische Analyse mit Exploit-Code oeffentlich verfuegbar. Der Kernel-Patch wurde auf der netfilter-devel-Mailingliste veroeffentlicht. Der Ransomware-Status ist als Unknown eingestuft. Ubuntu hat zahlreiche Security Notices veroeffentlicht (USN-5557-1 bis USN-5582-1), was die Breite der betroffenen Installationen verdeutlicht. Die Verfuegbarkeit oeffentlicher Exploit-Codes senkt die Einstiegshuerde fuer Angreifer erheblich.
Behebung
-
Linux-Kernel umgehend aktualisieren: Installieren Sie einen Kernel, der den Patch fuer CVE-2022-2586 enthaelt. Der Fix ist im Upstream-Kernel ab den Versionen nach 5.19.17 und nach 6.0 enthalten. Konsultieren Sie den Patch auf der netfilter-devel-Mailingliste.
-
Ubuntu-Sicherheitsupdates einspielen: Fuer Ubuntu-Distributionen stehen spezifische Sicherheitsupdates bereit. Fuehren Sie auf betroffenen Systemen (Ubuntu 14.04 bis 22.04) umgehend ein Kernel-Update durch: sudo apt update && sudo apt upgrade.
-
Netfilter-Berechtigungen einschraenken: Beschraenken Sie den Zugang zu Netfilter/nftables-Operationen auf vertrauenswuerdige Administratoren. Deaktivieren Sie den User-Namespace-Zugang fuer unprivilegierte Benutzer, falls moeglich, da dies die Ausnutzungsmoeglichkeit einschraenkt: sysctl -w kernel.unprivileged_userns_clone=0.
-
Kernel-Haertung ueberpruefen: Stellen Sie sicher, dass Kernel-Sicherheitsmechanismen wie KASLR (Kernel Address Space Layout Randomization), SMEP und SMAP aktiviert sind. Diese erschweren die Ausnutzung von Use-After-Free-Schwachstellen erheblich.
-
Systeme auf Kompromittierung ueberpruefen: Da die Schwachstelle aktiv ausgenutzt wird, ueberpruefen Sie betroffene Systeme auf Anzeichen einer Kompromittierung. Achten Sie auf verdaechtige Prozesse mit Root-Rechten, ungewoehnliche Kernel-Module und Aenderungen an kritischen Systemdateien.
Technische Details
CVE-2022-2586 betrifft das nf_tables-Subsystem im Linux-Kernel bis Version 5.19.17 und Version 6.0. Der CVSS-Vektor CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:H beschreibt die Angriffseigenschaften. Angriffsvektor (Lokal): Der Angreifer benoetigt lokalen Zugang zum System. Angriffskomplexitaet (Hoch): Die Ausnutzung erfordert praezises Timing und spezifische Bedingungen fuer das Use-After-Free, einschliesslich Heap-Manipulation und Race-Condition-Management. Berechtigungen (Niedrig): Ein normaler Benutzer-Account genuegt, sofern Netfilter-Operationen moeglich sind. Benutzerinteraktion (Keine): Kein Zutun anderer Benutzer erforderlich. Der Angriffsmechanismus basiert auf einer fehlenden Referenzzaehlung bei tabellenuebergreifenden Verweisen im nf_tables-Subsystem. Wenn ein nft-Ausdruck in Tabelle A auf ein nft-Set in Tabelle B verweist und Tabelle B geloescht wird, verbleibt ein haengender Zeiger (Dangling Pointer) in Tabelle A. Wird dieser Zeiger anschliessend dereferenziert, greift der Kernel auf bereits freigegebenen und moeglicherweise neu zugewiesenen Speicher zu. Durch gezielte Heap-Manipulation (Heap Spraying) kann ein Angreifer kontrollierten Inhalt in den freigegebenen Speicherbereich platzieren und so die Kontrolle ueber die Codeausfuehrung im Kernel erlangen.
Häufig gestellte Fragen
Kann CVE-2022-2586 fuer eine vollstaendige Root-Rechteeskalation genutzt werden?
Ja, obwohl der CVSS-Score konservativ bewertet ist, kann die Use-After-Free-Schwachstelle durch fortgeschrittene Heap-Manipulation zur vollstaendigen Privilegieneskalation auf Root-Rechte genutzt werden. Oeffentlich verfuegbare Analysen demonstrieren diese Ausnutzungstechnik.
Sind Container-Umgebungen ebenfalls betroffen?
Ja, Container teilen sich den Host-Kernel. Wenn der Container Zugang zu Netfilter-Operationen hat (z.B. durch CAP_NET_ADMIN), kann die Schwachstelle aus dem Container heraus ausgenutzt werden, um Root-Rechte auf dem Host zu erlangen. Dies macht die Schwachstelle besonders relevant fuer Kubernetes- und Docker-Umgebungen.
Warum wurde die Schwachstelle erst 2024 in den KEV-Katalog aufgenommen?
Die CISA nimmt Schwachstellen in den KEV-Katalog auf, wenn neue Erkenntnisse ueber aktive Ausnutzung vorliegen. Die verzoegerte Aufnahme deutet auf erneute oder verstaerkte Ausnutzung hin, moeglicherweise gegen noch ungepatchte Linux-Systeme in kritischen Infrastrukturen.
Wie kann ich pruefen, ob mein Kernel betroffen ist?
Fuehren Sie den Befehl uname -r aus, um Ihre Kernel-Version zu ermitteln. Versionen bis 5.19.17 und Version 6.0 sind betroffen. Ueberpruefen Sie zudem, ob Ihre Distribution spezifische Backport-Patches bereitgestellt hat, da viele Distributionen Sicherheitsfixes in aeltere Kernel-Versionen zurueckportieren.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.