🇰🇷 한글 설명
Linux 커널의 nfnetlink_cthelper.c에서 새로운 helper 생성, 조회, 삭제 작업에 대해 CAP_NET_ADMIN 권한을 요구하지 않습니다. 이로 인해 로컬 사용자가 net namespace를 공유하는 nfnl_cthelper_list 데이터 구조를 통해 의도된 접근 제한을 우회할 수 있습니다.
💡 쉬운 설명
Linux 시스템의 보안 권한 확인이 제대로 되지 않아, 일반 사용자가 관리자 권한이 필요한 네트워크 설정을 변경할 수 있게 됩니다. 로컬 사용자가 시스템 권한 없이 네트워크 헬퍼를 조작하여 권한 상승을 시도할 수 있습니다.
🇺🇸 원문 (English)
net/netfilter/nfnetlink_cthelper.c in the Linux kernel through 4.14.4 does not require the CAP_NET_ADMIN capability for new, get, and del operations, which allows local users to bypass intended access restrictions because the nfnl_cthelper_list data structure is shared across all net namespaces.
📍 영향받는 시스템
Linux 커널 4.14.4 이전 버전 (2.6.x ~ 4.14.4)
⚔️ 공격 벡터
로컬 시스템 접근이 있는 공격자가 nfnetlink 메시지를 전송하여 ct helper 설정을 무단 수정
🛡️ 대응 방법
Linux 커널을 4.14.5 이상으로 업그레이드
🔧 검증 코드
커널 버전이 4.14.5 미만이면 VULNERABLE 출력, 이상이면 패치됨. uname -r로 먼저 현재 커널 버전 확인 권장
uname -r | awk -F'[.-]' '{if($1<4 || ($1==4 && $2<14) || ($1==4 && $2==14 && $3<5)) print "VULNERABLE"} END {if(NR==0) print "Check manually"}'