Linux内核af_packet内存破坏漏洞（CVE-2020-14386） – 作者:深信服千里目安全实验室

2020年9月3日，Palo Auto Networks公司的研究员Or Cohen发布了一个Linux内核漏洞（CVE-2020-14386），文件af_packet.c存在整数溢出漏洞，可导致越界写入从而造成本地代码执行和权限提升。

1 Linux Kernel介绍

Linux Kernel是由 Linus Torvalds最初开发的开源的操作系统内核。实现了包括CPU、进程、内存、文件系统等核心模块，被广泛移植到Alpha、arc、arm、ia64、mips、powerpc、sparc、x86-64等许多体系结构上。目前多用于各种服务器和物联网终端等，也可在桌面终端使用Linux。

2 漏洞分析

该漏洞触发时需要本地低权限用户执行其具有执行权限的可执行文件，同时系统启用CAP_NET_RAW功能。CAP_NET_RAW是一种允许使用原始套接字的设置。

漏洞位于net/packet/af_packet.c文件，该文件参与Linux的TCP/IP协议套件实现中的原始数据包套接字。

unsigned short类型变量macoff（对应数据链路层的偏移）和netoff（对应网络层的偏移）在收到回环网卡的原始套接字数据包时，按照以上方式赋值。其中类型为数据报套接字（用于UDP）时两者的值都为数据包头部长度+16，否则将netoff赋值为数据包头部长度+16和maclen中较大的一个，在po->has_vnet_hdr存在（即存在虚拟网络，如NAT等）时加上其大小，再将macoff赋值为netoff减去mac头部的值（即减去数据链路层头部）。这里计算netlen时，可能出现传入的长度异常而导致上溢，此后计算macoff时，将会计算出不正常的结果。

当执行virtio_net_hdr_from_skb函数时，该函数根据参数中的数值申请缓冲区，这里用到了macoff这一数值。从而分配异常长度的缓冲区，可能造成越界写从而出现容器逃逸，权限提升等。

分析补丁可以发现，补丁将netoff变量的类型改为了unsigned int，并且判断了该值是否大于unsigned_short的最大值，如过大则丢弃内存中的数据包，从而不会导致内存破坏。