CVE-2024-1086
Linux Kernel Use-After-Free Vulnerability
Beschreibung
CVE-2024-1086 ist eine Use-After-Free-Schwachstelle in der netfilter/nf_tables-Komponente des Linux-Kernels, die eine lokale Privilegieneskalation ermoeglicht. Die Funktion nft_verdict_init() akzeptiert faelschlicherweise positive Werte als Drop-Error, wodurch nf_hook_slow() eine Double-Free-Bedingung ausloesen kann. Mit einem CVSS-Score von 7.8 (HIGH) und einem EPSS-Score von 85,19 % (99,3. Perzentil) ist diese Schwachstelle aeusserst kritisch. Die CISA hat CVE-2024-1086 in den KEV-Katalog aufgenommen, und die Schwachstelle ist als bekannt fuer Ransomware-Angriffe klassifiziert. Betroffen sind Linux-Kernel-Versionen ab 3.15 bis zu verschiedenen 6.x-Versionen.
KEV-Informationen
CVSS-Score
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HIm Rechner öffnenBetroffene Produkte
| Hersteller | Produkt | Version |
|---|---|---|
| netapp | h300s firmware | - |
| netapp | h500s firmware | - |
| netapp | h700s firmware | - |
| netapp | h410s firmware | - |
| netapp | h410c firmware | - |
| netapp | bootstrap os | - |
| linux | linux kernel | >= 3.15, < 5.15.149; >= 6.1, < 6.1.76; >= 6.2, < 6.6.15; >= 6.7, < 6.7.3; 6.8 |
| fedoraproject | fedora | 39 |
| redhat | enterprise linux desktop | 7.0 |
| redhat | enterprise linux for ibm z systems | 7.0_s390x |
| redhat | enterprise linux for power big endian | 7.0_ppc64 |
| redhat | enterprise linux for power little endian | 7.0_ppc64le |
| redhat | enterprise linux server | 7.0 |
| redhat | enterprise linux workstation | 7.0 |
| debian | debian linux | 10.0 |
| netapp | a250 firmware | - |
| netapp | 500f firmware | - |
| netapp | c250 firmware | - |
Mehrere CVSS-Bewertungen
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Referenzen
- http://www.openwall.com/lists/oss-security/2024/04/10/22(Mailing List, Patch)
- http://www.openwall.com/lists/oss-security/2024/04/10/23(Mailing List, Patch)
- http://www.openwall.com/lists/oss-security/2024/04/14/1(Exploit, Mailing List)
- http://www.openwall.com/lists/oss-security/2024/04/15/2(Mailing List)
- http://www.openwall.com/lists/oss-security/2024/04/17/5(Exploit, Mailing List)
- https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=f342de4e2f33e0e39165d8639387aa6c19dff660(Patch)
- https://github.com/Notselwyn/CVE-2024-1086(Exploit, Third Party Advisory)
- https://kernel.dance/f342de4e2f33e0e39165d8639387aa6c19dff660(Patch)
- https://lists.debian.org/debian-lts-announce/2024/06/msg00016.html(Mailing List)
- https://lists.debian.org/debian-lts-announce/2024/06/msg00020.html(Mailing List)
- https://lists.fedoraproject.org/archives/list/[email protected]/message/7LSPIOMIJYTLZB6QKPQVVAYSUETUWKPF/(Mailing List)
- https://news.ycombinator.com/item?id=39828424(Issue Tracking)
- https://pwning.tech/nftables/(Exploit, Technical Description, Third Party Advisory)
- https://security.netapp.com/advisory/ntap-20240614-0009/(Third Party Advisory)
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2024-1086(US Government Resource)
Schwachstellentyp
Fuer CVE-2024-1086 ist kein spezifischer CWE-Typ im NVD eingetragen. Basierend auf der Schwachstellenbeschreibung handelt es sich um eine Use-After-Free-Schwachstelle (CWE-416) mit einer Double-Free-Komponente (CWE-415).
CWE-416: Use After Free
CWE-416 (Use After Free) beschreibt eine Schwachstellenklasse, bei der ein Programm auf Speicher zugreift, der bereits freigegeben wurde. Im Fall von CVE-2024-1086 fuehrt die fehlerhafte Verarbeitung von Verdicts in der nf_tables-Komponente dazu, dass ein Netzwerkpaket doppelt freigegeben wird. Ein lokaler Benutzer kann diese Bedingung gezielt ausloesen und so beliebigen Code mit Kernel-Privilegien ausfuehren. Mehr erfahren
CWE-415: Double Free
CWE-415 (Double Free) beschreibt das Freigeben desselben Speicherbereichs zweimal. In CVE-2024-1086 wird ein NF_DROP-Verdict mit einem Drop-Error-Wert, der NF_ACCEPT aehnelt, so interpretiert, dass der Speicher des Netzwerkpakets zweimal freigegeben wird. Dies korruptiert die Speicherstrukturen des Kernel-Allocators und eroeffnet die Moeglichkeit zur Ausfuehrung beliebigen Codes. Mehr erfahren
Auswirkungsanalyse
Root-Privilegien durch lokale Eskalation: Die Auswirkungen dieser Schwachstelle sind maximal. Vertraulichkeit (C:H) ermoeglicht nach einer Privilegieneskalation den vollstaendigen Lesezugriff auf alle Systemdaten, einschliesslich kryptographischer Schluessel, Passwoerter und vertraulicher Dateien anderer Benutzer. Integritaet (I:H) bedeutet vollstaendige Kontrolle ueber das System, einschliesslich der Moeglichkeit, Kernel-Module zu laden, Backdoors zu installieren und Systemdateien zu manipulieren. Verfuegbarkeit (A:H) umfasst die Moeglichkeit, das System vollstaendig lahmzulegen oder dessen Betrieb nach Belieben zu kontrollieren.
Breite Angriffsoberflaeche: Obwohl der Angriff lokalen Zugriff (AV:L) erfordert, ist die Komplexitaet gering (AC:L) und nur niedrige Privilegien (PR:L) sind noetig. In Kombination mit einer Remote-Code-Execution-Schwachstelle in einem Dienst oder einer Webanwendung wird CVE-2024-1086 zum perfekten zweiten Schritt einer Angriffskette.
EPSS und Ransomware: Der EPSS-Score von 85,19 % (99,3. Perzentil) zeigt eine extrem hohe Ausnutzungswahrscheinlichkeit. Die Schwachstelle ist als Known fuer Ransomware-Verbindungen klassifiziert, was bedeutet, dass sie aktiv in Ransomware-Kampagnen verwendet wird. Dies macht das Patching besonders dringend fuer alle Linux-Server und -Systeme.
Exploit-Reifegrad
CVE-2024-1086 weist eine sehr hohe Exploit-Reife mit oeffentlich verfuegbaren, zuverlaessigen Exploits auf. Der Sicherheitsforscher "Notselwyn" hat einen vollstaendigen Exploit auf GitHub veroeffentlicht, der eine zuverlaessige lokale Privilegieneskalation auf zahlreichen Linux-Kernel-Versionen ermoeglicht. Zusaetzlich wurde eine detaillierte technische Analyse veroeffentlicht, die den Exploit-Mechanismus ausfuehrlich beschreibt.
EPSS-Kontext: Mit einem EPSS-Score von 85,19 % (99,3. Perzentil) gehoert CVE-2024-1086 zum obersten Prozent der am wahrscheinlichsten ausgenutzten Schwachstellen. Die Verfuegbarkeit eines zuverlaessigen oeffentlichen Exploits traegt massgeblich zu diesem hohen Wert bei.
Oeffentliche Exploit-Quellen: Auf der oss-security-Mailingliste wurden Exploit-Details diskutiert. Multiple Mailing-List-Posts dokumentieren den Exploit-Entwicklungsprozess und verschiedene Varianten.
Ransomware-Verbindung: Der Ransomware-Status ist Known. CVE-2024-1086 wird aktiv in Ransomware-Kampagnen eingesetzt, insbesondere gegen Linux-Server in Unternehmensumgebungen. Die zuverlaessige Privilegieneskalation von einem normalen Benutzer zu Root macht die Schwachstelle zum idealen Werkzeug fuer Ransomware-Operatoren.
Behebung
- Linux-Kernel aktualisieren: Aktualisieren Sie den Linux-Kernel auf eine gepatchte Version: 5.15.149+, 6.1.76+, 6.6.15+ oder 6.7.3+. Der Patch-Commit ist im offiziellen Kernel-Repository verfuegbar.
- Distributions-Updates einspielen: Fuer Enterprise-Linux-Distributionen (Red Hat Enterprise Linux 7.x, Debian 10, Fedora 39) sind spezifische Kernel-Pakete mit dem Fix verfuegbar. Verwenden Sie den Paketmanager Ihrer Distribution:
apt update && apt upgrade(Debian/Ubuntu),yum update kernel(RHEL/CentOS) oderdnf update kernel(Fedora). - nf_tables temporaer deaktivieren: Als temporaere Mitigation koennen Sie die Nutzung von nf_tables einschraenken, indem Sie den Zugriff auf das nf_tables-Subsystem fuer unprivilegierte Benutzer blockieren:
echo 0 > /proc/sys/user/max_user_namespaces(falls User-Namespaces nicht benoetigt werden) odersysctl -w kernel.unprivileged_userns_clone=0. - Container-Umgebungen pruefen: Da die Schwachstelle auch aus Containern heraus ausnutzbar sein kann (Container-Escape), muessen alle Container-Hosts dringend aktualisiert werden. Pruefen Sie insbesondere Kubernetes-Nodes und Docker-Hosts auf verwundbare Kernel-Versionen.
- Netzwerksicherheit und Monitoring verstaerken: Implementieren Sie Host-basierte Intrusion Detection (z.B. AIDE, OSSEC) und ueberwachen Sie Systeme auf Anzeichen einer Privilegieneskalation. Achten Sie auf unerwartete Root-Prozesse, Kernel-Modul-Aenderungen und verdaechtige nf_tables-Regeln.
Technische Details
Die Schwachstelle befindet sich in der netfilter/nf_tables-Komponente des Linux-Kernels, spezifisch in der Verarbeitung von Verdicts (Entscheidungen) fuer Netzwerkpakete. Die Funktion nft_verdict_init() validiert die uebergebenen Werte unzureichend und akzeptiert positive Werte als Drop-Error-Codes innerhalb eines Hook-Verdicts.
CVSS-Vektor im Detail: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H - Der Angriff erfolgt lokal (AV:L) mit niedriger Komplexitaet (AC:L), erfordert niedrige Privilegien (PR:L) und keine Benutzerinteraktion (UI:N). Der Scope ist unveraendert (S:U), alle drei Schutzziele sind maximal betroffen (C:H/I:H/A:H).
Angriffsmechanismus: Ein lokaler Benutzer erstellt eine nf_tables-Regel mit einem NF_DROP-Verdict, das einen positiven Drop-Error-Wert enthaelt, der den Wert NF_ACCEPT nachahmt. Wenn ein Netzwerkpaket diese Regel durchlaeuft, ruft nf_hook_slow() den Verdict-Handler auf. Da der Drop-Error-Wert als NF_ACCEPT interpretiert wird, wird das Paket sowohl akzeptiert als auch gedroppt, was zu einer doppelten Freigabe (Double Free) des zugehoerigen Speicherbereichs (sk_buff) fuehrt. Der Angreifer kann diesen korruptierten Zustand des Kernel-Speicher-Allocators (SLUB) ausnutzen, um kontrollierte Daten in freigegebene Speicherobjekte zu schreiben und schliesslich die Ausfuehrung beliebigen Codes im Kernel-Kontext zu erzwingen. Der oeffentlich verfuegbare Exploit nutzt Heap-Spraying-Techniken und Kernel-ROP-Chains, um zuverlaessig Root-Privilegien zu erlangen.
Betroffene Versionen: Linux-Kernel ab Version 3.15 bis vor 5.15.149, 6.1 bis vor 6.1.76, 6.2 bis vor 6.6.15, 6.7 bis vor 6.7.3, sowie Version 6.8. Zusaetzlich betroffen sind Fedora 39, Red Hat Enterprise Linux 7.0 (alle Varianten), Debian Linux 10.0 und diverse NetApp-Firmware-Versionen.
Häufig gestellte Fragen
Wie zuverlaessig ist der oeffentlich verfuegbare Exploit?
Der von Notselwyn veroeffentlichte Exploit ist aeusserst zuverlaessig und funktioniert auf einer breiten Palette von Linux-Kernel-Versionen. Die technische Analyse beschreibt den Exploit-Mechanismus detailliert. Dies macht die Schwachstelle besonders gefaehrlich, da auch weniger erfahrene Angreifer sie ausnutzen koennen.
Kann CVE-2024-1086 aus einem Container heraus ausgenutzt werden?
Ja, unter bestimmten Bedingungen ist ein Container-Escape moeglich. Wenn der Container Zugriff auf User-Namespaces hat und die Kernel-Version verwundbar ist, kann ein Angreifer die nf_tables-Schwachstelle nutzen, um aus dem Container auszubrechen und Root-Privilegien auf dem Host zu erlangen. Container-Hosts sollten daher prioritaer gepatcht werden.
Wird CVE-2024-1086 aktiv in Ransomware eingesetzt?
Ja, die Schwachstelle ist als Known fuer Ransomware-Verbindungen klassifiziert. Ransomware-Gruppen nutzen CVE-2024-1086 als Werkzeug zur Privilegieneskalation auf Linux-Servern, um nach einem initialen Zugang ueber eine andere Schwachstelle Root-Rechte zu erlangen und die Verschluesselung aller Daten durchzufuehren.
Betrifft CVE-2024-1086 auch Systeme ohne nf_tables-Nutzung?
Das nf_tables-Modul ist auf vielen Linux-Systemen standardmaessig geladen, auch wenn keine expliziten Firewall-Regeln konfiguriert sind. Moderne Linux-Distributionen verwenden nf_tables als Backend fuer iptables. Daher sind nahezu alle Linux-Systeme mit einem verwundbaren Kernel potenziell betroffen, unabhaengig davon, ob aktiv Firewall-Regeln konfiguriert wurden.
Hilfe beim Schwachstellenmanagement?
Unsere Sicherheitsexperten helfen Ihnen bei der Priorisierung und Behebung von Schwachstellen.