一、背景介绍
近日，市委网信办技术支撑单位监测到Linux Netfilter 提权漏洞细节及EXP 已在互联网公开（CVE-2021-22555）。
1.1漏洞描述
Netfilter是Linux 2.4.x引入的一个子系统，它作为一个通用的、抽象的框架，提供一整套的hook函数的管理机制，使得诸如数据包过滤、网络地址转换(NAT)和基于协议类型的连接跟踪成为了可能。
Linux Netfilter模块在实现IPT_SO_SET_REPLACE（或 IP6T_SO_SET_REPLACE）setsockopt时存在堆越界写入漏洞，该漏洞将允许本地用户通过用户名空间获取权限提升，该漏洞在kCTF中被用于攻击kubernetes pod容器实现虚拟化逃逸。
1.2漏洞编号
CVE-2021-22555
1.3漏洞等级
高危
二、修复建议
2.1 受影响版本
Linux Kernel版本>=2.6.19(9fa492cdc160cd27ce1046cb36f47d3b2b1efa21)
2.2 修复建议
升级Linux内核到安全版本，如下：
Linux Kernel 5.12(b29c457a6511435960115c0f548c4360d5f4801d)，5.10.31, 5.4.113, 4.19.188, 4.14.231, 4.9.267, 4.4.267
2.3 临时修复建议
RedHat建议，用户可通过以下命令禁止非特权用户执行CLONE_NEWUSER、CLONE_NEWNET来修复此漏洞：
echo 0 > /proc/sys/user/max_user_namespaces