netfilter: nf_tables: do not allow SET_ID to refer to another table
authorThadeu Lima de Souza Cascardo <cascardo@canonical.com>
Tue, 9 Aug 2022 17:01:46 +0000 (14:01 -0300)
committerPablo Neira Ayuso <pablo@netfilter.org>
Tue, 9 Aug 2022 17:38:17 +0000 (19:38 +0200)
commit470ee20e069a6d05ae549f7d0ef2bdbcee6a81b2
tree022b27250eca4303196473a6e3ce6fcbd5453584
parent34aae2c2fb1e3d88a5aeee16715cb6bf0336cdce
netfilter: nf_tables: do not allow SET_ID to refer to another table

When doing lookups for sets on the same batch by using its ID, a set from a
different table can be used.

Then, when the table is removed, a reference to the set may be kept after
the set is freed, leading to a potential use-after-free.

When looking for sets by ID, use the table that was used for the lookup by
name, and only return sets belonging to that same table.

This fixes CVE-2022-2586, also reported as ZDI-CAN-17470.

Reported-by: Team Orca of Sea Security (@seasecresponse)
Fixes: 958bee14d071 ("netfilter: nf_tables: use new transaction infrastructure to handle sets")
Signed-off-by: Thadeu Lima de Souza Cascardo <cascardo@canonical.com>
Cc: <stable@vger.kernel.org>
Signed-off-by: Pablo Neira Ayuso <pablo@netfilter.org>
net/netfilter/nf_tables_api.c