🇰🇷 한글 설명
Linux 커널의 x86/tdx 구성에서 'private' 메모리 접근 시 발생하는 가상화 예외(#VE)에 대한 취약점입니다. 부팅 초기 단계에서 ATTR_SEPT_VE_DISABLE 속성이 설정되지 않을 경우 시스템 패닉이 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터의 보안 기술인 TDX 설정이 잘못되어 있으면 시스템이 갑자기 멈추거나 꺼질 수 있는 문제입니다. 이를 방지하기 위해 부팅 시 특정 보안 설정이 제대로 되어 있는지 확인하는 과정이 필요합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
x86/tdx: Panic on bad configs that #VE on "private" memory access
All normal kernel memory is "TDX private memory". This includes
everything from kernel stacks to kernel text. Handling
exceptions on arbitrary accesses to kernel memory is essentially
impossible because they can happen in horribly nasty places like
kernel entry/exit. But, TDX hardware can theoretically _deliver_
a virtualization exception (#VE) on any access to private memory.
But, it's not as bad as it sounds. TDX can be configured to never
deliver these exceptions on private memory with a "TD attribute"
called ATTR_SEPT_VE_DISABLE. The guest has no way to *set* this
attribute, but it can check it.
Ensure ATTR_SEPT_VE_DISABLE is set in early boot. panic() if it
is unset. There is no sane way for Linux to run with this
attribute clear so a panic() is appropriate.
There's small window during boot before the check where kernel
has an early #VE handler. But the handler is only for port I/O
and will also panic() as soon as it sees any other #VE, such as
a one generated by a private memory access.
[ dhansen: Rewrite changelog and rebase on new tdx_parse_tdinfo().
Add Kirill's tested-by because I made changes since
he wrote this. ]
📍 영향받는 시스템
Intel TDX 기술을 사용하는 x86 기반 Linux 커널 시스템
⚔️ 공격 벡터
잘못된 하드웨어/가상화 구성(Configuration)을 통한 시스템 서비스 거부(DoS)
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 부팅 시 ATTR_SEPT_VE_DISABLE 속성을 강제로 확인하도록 설정합니다.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.