Lỗi kiểm tra IPv6 Neighbor Discovery trong Red Hat Enterprise Linux iscsi-initiator-utils cho phép đầu độc bảng ARP

Đã phát hiện một lỗ hổng trong thành phần iscsiuio của open-iscsi. Trình xử lý IPv6 Neighbor Discovery truy cập các tùy chọn địa chỉ ở tầng liên kết tại một offset cố định mà không xác minh gói tin có chứa các tùy chọn đó. Ngoài ra, bảng ARP được cập nhật vô điều kiện bằng các địa chỉ do kẻ tấn công kiểm soát lấy từ các header của gói tin. Kẻ tấn công trên cùng phân đoạn mạng có thể gửi một Neighbor Advertisement tối giản để đầu độc bảng ARP và chuyển hướng lưu lượng mạng.

• Red Hat Enterprise Linux 7: iscsi-initiator-utils-iscsiuio, iscsi-initiator-utils.src và iscsi-initiator-utils-devel được đánh dấu bị ảnh hưởng.
• Red Hat Enterprise Linux 8: iscsi-initiator-utils, iscsi-initiator-utils-iscsiuio, iscsi-initiator-utils.src, iscsi-initiator-utils-devel và python3-iscsi-initiator-utils được đánh dấu bị ảnh hưởng.
• Red Hat Enterprise Linux 9: iscsi-initiator-utils, iscsi-initiator-utils-iscsiuio, iscsi-initiator-utils.src và python3-iscsi-initiator-utils được đánh dấu bị ảnh hưởng.
• Red Hat Enterprise Linux 10: iscsi-initiator-utils, iscsi-initiator-utils-iscsiuio, iscsi-initiator-utils.src và python3-iscsi-initiator-utils được đánh dấu bị ảnh hưởng.
• Red Hat đánh dấu iscsi-initiator-utils.src và iscsi-initiator-utils-devel của Red Hat Enterprise Linux 6 là không bị ảnh hưởng vì không chứa mã dễ bị lỗi. Điều này không mở rộng mặc định cho mọi gói hoặc mọi cấu hình của nhánh đó.
• Chưa có số phiên bản bị ảnh hưởng cụ thể hoặc bản sửa lỗi chính xác được công bố trong dữ liệu hiện có; Red Hat hiện ghi nhận chưa có remediation khả dụng cho các sản phẩm bị ảnh hưởng.

Lỗi nằm trong thành phần iscsiuio của open-iscsi, tại logic xử lý IPv6 Neighbor Discovery trong iscsiuio/src/uip/ipv6.c. Các handler Neighbor Advertisement và Neighbor Solicitation tính vị trí tùy chọn địa chỉ tầng liên kết ở offset cố định 24 byte sau header ICMPv6 nhưng không kiểm tra độ dài payload trước khi truy cập. Một Neighbor Advertisement hợp lệ không có tùy chọn có thể khiến phép đọc trường loại tùy chọn vượt ra ngoài vùng dữ liệu của gói, thuộc CWE-125. Riêng đường xử lý Neighbor Advertisement còn gọi cập nhật bảng ARP vô điều kiện bằng địa chỉ IPv6 nguồn và địa chỉ MAC Ethernet lấy từ header gói tin, đều là dữ liệu do kẻ tấn công kiểm soát. Vì vậy, việc đầu độc bảng ARP không phụ thuộc vào thao tác trên heap hoặc vào việc dữ liệu tùy chọn có khớp hay không. Điều kiện tiếp cận là iscsiuio phải đang xử lý lưu lượng IPv6 NDP trên một NIC có hardware iSCSI offload; daemon được socket-activate và chỉ chạy khi phần cứng hiện diện, được cấu hình. Chi tiết ánh xạ giữa các bản build cụ thể và bản sửa lỗi chưa được xác định.

Kẻ tấn công cần quyền truy cập vào cùng phân đoạn mạng lớp 2 với hệ thống mục tiêu, nhưng không cần xác thực và không cần người dùng tương tác. Độ phức tạp thấp vì một Neighbor Advertisement tối giản có thể kích hoạt đường xử lý dễ bị lỗi. Thành phần đầu độc ARP được Red Hat mô tả là có thể thực hiện một cách đáng tin cậy từ phân đoạn cục bộ mà không cần thao tác trên heap. Khả năng khai thác thực tế vẫn phụ thuộc vào việc hệ thống có NIC hỗ trợ iSCSI offload, đã cấu hình giao diện tương ứng và đang xử lý NDP. Bằng chứng được cung cấp không xác lập trạng thái khai thác đang diễn ra hoặc sự tồn tại của exploit công khai.

• Kết quả kỹ thuật được xác nhận là cập nhật bảng ARP bằng địa chỉ MAC và IP do kẻ tấn công kiểm soát, từ đó có thể chuyển hướng lưu lượng trong phân đoạn cục bộ.
• Điều kiện khai thác giới hạn ở một kẻ tấn công có khả năng gửi lưu lượng trên cùng mạng lớp 2; không cần tài khoản hoặc tương tác của người dùng.
• Một đường xử lý riêng còn thực hiện phép đọc ngoài giới hạn khi gói Neighbor Discovery không chứa tùy chọn ở vị trí dự kiến. Bằng chứng hiện có không cho thấy việc đọc này dẫn đến thực thi mã.
• Tác động được Red Hat giới hạn trong mạng lưu trữ iSCSI và có thể gồm ảnh hưởng đến tính toàn vẹn của lưu lượng hoặc tính sẵn sàng của kết nối. Không có cơ sở để khẳng định tác động bảo mật dữ liệu hoặc một vụ xâm nhập cụ thể.

Đầu độc bảng ARP có thể làm thay đổi đường đi của lưu lượng giữa máy chủ và các thành phần trong mạng lưu trữ iSCSI. Hệ quả thực tế có thể gồm chuyển hướng lưu lượng, suy giảm tính toàn vẹn của giao tiếp và gián đoạn kết nối hoặc hoạt động lưu trữ. Red Hat giới hạn tác động được mô tả trong mạng lưu trữ iSCSI, thay vì toàn bộ mạng của hệ thống. Bằng chứng hiện có không xác nhận việc truy cập dữ liệu, một vụ xâm nhập cụ thể hoặc một sự cố rò rỉ thông tin.

1. Hiện chưa có bản cập nhật hoặc bản phát hành sửa lỗi cụ thể được xác nhận cho các sản phẩm bị ảnh hưởng. Theo dõi thông báo Red Hat và áp dụng bản sửa lỗi chính thức ngay khi bản sửa lỗi cho đúng nhánh sản phẩm được công bố; không suy luận rằng một bản sửa cho nhánh này tự động áp dụng cho các nhánh khác.
2. Giữ các giao diện do iscsiuio quản lý trong các phân đoạn L2 được tin cậy và tách biệt khỏi nguồn không được kiểm soát.
3. Khi phù hợp với thiết kế mạng và hoạt động lưu trữ, lọc ICMPv6 Neighbor Advertisement type 136 và Neighbor Solicitation type 135 từ các nguồn không được tin cậy bằng firewall. Đánh giá kỹ ảnh hưởng vận hành trước khi áp dụng vì các bản tin này là một phần của Neighbor Discovery.
4. Ưu tiên biện pháp cô lập và lọc trên các hệ thống có NIC hỗ trợ hardware iSCSI offload, đã cấu hình iscsiuio và đang xử lý lưu lượng IPv6 NDP. Không sử dụng việc thiếu log hoặc thiếu bản tin quan sát được làm bằng chứng duy nhất rằng hệ thống không bị ảnh hưởng.

1. Kiểm kê các hệ thống Red Hat Enterprise Linux có cài iscsi-initiator-utils, đặc biệt các gói iscsi-initiator-utils-iscsiuio, gói source, gói development và gói Python liên quan.
2. Xác định máy có NIC hỗ trợ hardware iSCSI offload, giao diện do iscsiuio quản lý và trạng thái socket activation hoặc cấu hình khiến daemon có thể xử lý IPv6 NDP.
3. Trên các giao diện này, rà soát lưu lượng ICMPv6 Neighbor Advertisement type 136 và Neighbor Solicitation type 135 đến từ nguồn không được tin cậy. Đây là biện pháp giám sát phòng ngừa, không phải IOC đã được xác nhận.
4. Đối chiếu các thay đổi bất thường trong bảng ARP hoặc neighbor cache với địa chỉ MAC và IP dự kiến; điều tra các thay đổi trùng với hiện tượng chuyển hướng hoặc gián đoạn lưu lượng trong mạng lưu trữ iSCSI.
5. Khi có mã nguồn hoặc gói debug, kiểm tra các hàm ipv6_icmp_handle_nd_adv() và ipv6_icmp_handle_nd_sol() cùng việc kiểm tra độ dài trước khi dereference con trỏ tùy chọn. Việc không thấy sự kiện mạng đáng ngờ không chứng minh hệ thống đã an toàn.