🇰🇷 한글 설명
Linux 커널의 IPVS(IP Virtual Server) 모듈에서, ip_vs_conn_net_init() 초기화 중 ip_vs_conn 또는 ip_vs_conn_sync 프로시저 파일 생성이 실패해도 초기화가 성공으로 처리되어, 네트워크 네임스페이스 정리(remove) 시 해당 파일을 찾지 못해 커널 WARNING이 발생하는 문제가 수정되었습니다. 이 수정은 __ip_vs_cleanup_batch()의 경고를 해결합니다.
💡 쉬운 설명
리눅스 커널의 네트워크 부하 분산 기능에서 내부 설정 파일 생성이 실패했는데도 정상 처리되어, 나중에 정리할 때 없는 파일을 지우려다 경고가 발생하는 결함입니다. 시스템 정지나 데이터 유출로 이어지는 것은 아니고 주로 커널 경고 로그를 남깁니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ipvs: fix WARNING in __ip_vs_cleanup_batch()
During the initialization of ip_vs_conn_net_init(), if file ip_vs_conn
or ip_vs_conn_sync fails to be created, the initialization is successful
by default. Therefore, the ip_vs_conn or ip_vs_conn_sync file doesn't
be found during the remove.
The following is the stack information:
name 'ip_vs_conn_sync'
WARNING: CPU: 3 PID: 9 at fs/proc/generic.c:712
remove_proc_entry+0x389/0x460
Modules linked in:
Workqueue: netns cleanup_net
RIP: 0010:remove_proc_entry+0x389/0x460
Call Trace:
<TASK>
__ip_vs_cleanup_batch+0x7d/0x120
ops_exit_list+0x125/0x170
cleanup_net+0x4ea/0xb00
process_one_work+0x9bf/0x1710
worker_thread+0x665/0x1080
kthread+0x2e4/0x3a0
ret_from_fork+0x1f/0x30
</TASK>
📍 영향받는 시스템
IPVS 모듈을 사용하는 수정 이전의 Linux 커널 버전 (수정 커밋 적용 전 배포판 커널)
⚔️ 공격 벡터
로컬 사용자가 네트워크 네임스페이스를 생성·삭제하는 과정에서 파일 생성 실패 상황을 유도해 커널 경고를 발생시킬 수 있으나, 권한 상승이나 원격 공격 경로는 확인되지 않았습니다.
🛡️ 대응 방법
배포판 벤더가 제공하는 최신 커널 보안 업데이트로 재부팅하거나, 해당 수정이 포함된 Linux 커널 버전으로 업그레이드하세요.
🔧 검증 코드
커널 버전을 확인하고 ip_vs 모듈 로드 여부를 점검합니다. 모듈이 로드되어 있다면 배포판 보안 공지에서 해당 커널 버전이 수정 패치를 포함하는지 대조하세요.
uname -r; lsmod 2>/dev/null | grep -E '^ip_vs' ; dpkg -l 'linux-image*' 2>/dev/null | grep -E '^ii' | head -5