🇰🇷 한글 설명
Linux 커널 4.14.4 이전 버전에서 CONFIG_NLMON이 활성화될 때, __netlink_deliver_tap_skb 함수가 Netlink 메시지 관찰을 단일 네임스페이스로 제한하지 않아 발생하는 취약점입니다. CAP_NET_ADMIN 권한을 가진 로컬 사용자가 nlmon 인터페이스를 통해 전체 시스템의 Netlink 활동을 스니핑하여 민감한 정보를 유출할 수 있습니다.
💡 쉬운 설명
관리자 권한이 있는 컴퓨터 사용자가 Linux 시스템의 숨겨진 네트워크 통신을 엿볼 수 있는 보안 구멍입니다. 기본적으로 비활성화된 네트워크 모니터링 기능이 켜져 있는 경우에만 영향을 받습니다.
🇺🇸 원문 (English)
The __netlink_deliver_tap_skb function in net/netlink/af_netlink.c in the Linux kernel through 4.14.4, when CONFIG_NLMON is enabled, does not restrict observations of Netlink messages to a single net namespace, which allows local users to obtain sensitive information by leveraging the CAP_NET_ADMIN capability to sniff an nlmon interface for all Netlink activity on the system.
📍 영향받는 시스템
Linux kernel 4.14.4 이하 (CONFIG_NLMON 활성화 필수)
⚔️ 공격 벡터
CAP_NET_ADMIN 권한을 가진 로컬 사용자가 nlmon 네트워크 인터페이스를 통해 교차 네임스페이스 Netlink 메시지 스니핑
🛡️ 대응 방법
Linux 커널을 4.14.5 이상으로 업그레이드하거나, 불필요한 경우 CONFIG_NLMON 비활성화
🔧 검증 코드
커널 버전이 4.14.4 이하이고 위 명령어에서 'CONFIG_NLMON=y'가 출력되면 취약점 존재; 커널 4.14.5+ 업그레이드 필요
uname -r && grep -E '^CONFIG_NLMON=y' /boot/config-$(uname -r) 2>/dev/null