近日，海外研究團隊披露出Linux Netfilter本地權限提升漏洞，漏洞編號CVE-2021-22555。該漏洞在kCTF中被用于攻擊Kubernetes Pod容器，實現容器逃逸。此漏洞影響較大，阿里云建議您及時自查并修復漏洞。
漏洞信息
漏洞編號：CVE-2021-22555
漏洞評級：高
影響范圍：Linux內核版本大于等于
2.6.19(9fa492cdc160cd27ce1046cb36f47d3b2b1efa21)ECS受影響的鏡像版本包括：
Alibaba Cloud Linux 2/3
CentOS 7/8
RedHat 7/8
Ubuntu 14/16/18/20
Debian 8/9/10
SUSE Linux Enterprise Server 12/15
OpenSUSE 42.3/15
詳細描述
Linux Netfilter模塊在實現IPT_SO_SET_REPLACE（或IP6T_SO_SET_REPLACE）setsockopt時，存在堆越界寫入漏洞。該漏洞將允許本地用戶通過用戶命名空間獲取權限提升，在kCTF中被用于攻擊Kubernetes Pod容器，實現容器逃逸。該漏洞已在Linux內核代碼中存在15年。
安全建議
如果您的ECS實例操作系統為Alibaba Cloud Linux 2，具體修復方案，請參見Alibaba Cloud Linux 2系統的CVE-2021-22555安全漏洞內核熱補丁修復方案。
其他發行版的操作系統，請您盡快將Linux內核版本升級到如下所示的安全版本。
5.12(b29c457a6511435960115c0f548c4360d5f4801d)5.10.315.4.1134.19.1884.14.2314.9.2674.4.267
Red Hat提供的臨時修補建議：
您可以通過運行以下命令禁止非特權用戶執行CLONE_NEWUSER與CLONE_NEWNET，以緩解該漏洞產生的影響。
echo 0 > /proc/sys/user/max_user_namespaces相關鏈接
公告方
阿里云計算有限公司