🇰🇷 한글 설명
Linux 커널의 IPVS(ip_vs_app) 네트워크 네임스페이스 초기화 과정에서, ip_vs_app 프록시 파일 생성에 실패해도 초기화가 성공으로 처리되는 문제가 있습니다. 이로 인해 네임스페이스 정리 시 해당 파일을 찾지 못해 커널 경고(WARNING)가 발생합니다.
💡 쉬운 설명
리눅스 커널의 네트워크 기능 초기화 중 일부 파일 생성이 실패해도 오류로 처리되지 않습니다. 나중에 정리 작업을 할 때 존재하지 않는 항목을 지우려다 커널 경고가 발생합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ipvs: fix WARNING in ip_vs_app_net_cleanup()
During the initialization of ip_vs_app_net_init(), if file ip_vs_app
fails to be created, the initialization is successful by default.
Therefore, the ip_vs_app file doesn't be found during the remove in
ip_vs_app_net_cleanup(). It will cause WRNING.
The following is the stack information:
name 'ip_vs_app'
WARNING: CPU: 1 PID: 9 at fs/proc/generic.c:712 remove_proc_entry+0x389/0x460
Modules linked in:
Workqueue: netns cleanup_net
RIP: 0010:remove_proc_entry+0x389/0x460
Call Trace:
<TASK>
ops_exit_list+0x125/0x170
cleanup_net+0x4ea/0xb00
process_one_work+0x9bf/0x1710
worker_thread+0x665/0x1080
kthread+0x2e4/0x3a0
ret_from_fork+0x1f/0x30
</TASK>
📍 영향받는 시스템
패치가 적용되지 않은 Linux 커널 버전 (IPVS 기능 사용 시 영향)
⚔️ 공격 벡터
로컬 사용자가 네트워크 네임스페이스 생성·삭제를 반복하도록 유도하여 커널 경고 및 서비스 불안정을 유발할 수 있음 (직접적인 원격 공격 경로는 제한적)
🛡️ 대응 방법
커널을 해당 CVE 수정이 포함된 최신 안정 버전으로 업데이트하고 재부팅
🔧 검증 코드
커널 버전이 수정 패치가 포함된 버전인지 배포판 보안 공지와 대조하고, ip_vs 모듈이 로드되어 있지 않으면 영향이 없으며, dmesg에 ip_vs_app 관련 WARNING이 기록되었는지로 증상 발생 여부를 확인합니다.
uname -r && lsmod 2>/dev/null | grep -E 'ip_vs' ; dmesg 2>/dev/null | grep -i 'ip_vs_app' | tail -5