🇰🇷 한글 설명
리눅스 커널의 netfilter conntrack 가비지 컬렉션(GC) 과정에서 대규모 해시 테이블을 사용하는 시스템의 경우, 이벤트 수집 시 netlink 이벤트 오버플로가 발생할 수 있는 취약점입니다. 이를 해결하기 위해 GC 실행 주기와 방식이 최적화되어 이벤트 오버플로를 방지하도록 수정되었습니다.
💡 쉬운 설명
네트워크 연결 정보를 관리하는 시스템에서 한꺼번에 너무 많은 정보를 정리하려다 보니 데이터 통로가 넘쳐버리는 문제가 있었습니다. 이로 인해 시스템이 네트워크 상태를 제대로 파악하지 못할 수 있는 현상입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: conntrack: revisit gc autotuning
as of commit 4608fdfc07e1
("netfilter: conntrack: collect all entries in one cycle")
conntrack gc was changed to run every 2 minutes.
On systems where conntrack hash table is set to large value, most evictions
happen from gc worker rather than the packet path due to hash table
distribution.
This causes netlink event overflows when events are collected.
This change collects average expiry of scanned entries and
reschedules to the average remaining value, within 1 to 60 second interval.
To avoid event overflows, reschedule after each bucket and add a
limit for both run time and number of evictions per run.
If more entries have to be evicted, reschedule and restart 1 jiffy
into the future.
📍 영향받는 시스템
Linux kernel (conntrack GC autotuning 관련 취약점이 포함된 버전)
⚔️ 공격 벡터
직접적인 공격보다는 대규모 네트워크 트래픽이나 연결 상태 변화를 유도하여 시스템의 이벤트 처리 능력을 초과시키는 방식
🛡️ 대응 방법
커널 패치(commit 4608fdfc07e1 이상)를 적용하거나 최신 보안 업데이트가 반영된 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인