🇰🇷 한글 설명
Linux 커널 USB 가젯 드라이버에서 USB 설정(config)을 rndis에서 다른 설정으로 전환하는 과정에 use-after-free 취약점이 존재합니다. 하드웨어가 ->pullup 콜백을 지원하지 않거나 저확률 결함이 발생하면 콜백이 실패하고, 이로 인해 rndis_close() 경로에서 해제된 메모리를 참조하여 시스템 패닉이 발생할 수 있습니다. 가젯 드라이버는 하드웨어 동작과 무관하게 언로드될 수 있어야 한다는 점에서 수정이 필요합니다.
💡 쉬운 설명
USB 장치 설정을 바꾸는 중에 이미 지운 메모리를 다시 읽으려 해서 컴퓨터가 멈출 수 있는 결함입니다. 일부 하드웨어나 드문 오류 상황에서 발생합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
USB: gadget: Fix use-after-free during usb config switch
In the process of switching USB config from rndis to other config,
if the hardware does not support the ->pullup callback, or the
hardware encounters a low probability fault, both of them may cause
the ->pullup callback to fail, which will then cause a system panic
(use after free).
The gadget drivers sometimes need to be unloaded regardless of the
hardware's behavior.
Analysis as follows:
=======================================================================
(1) write /config/usb_gadget/g1/UDC "none"
gether_disconnect+0x2c/0x1f8
rndis_disable+0x4c/0x74
composite_disconnect+0x74/0xb0
configfs_composite_disconnect+0x60/0x7c
usb_gadget_disconnect+0x70/0x124
usb_gadget_unregister_driver+0xc8/0x1d8
gadget_dev_desc_UDC_store+0xec/0x1e4
(2) rm /config/usb_gadget/g1/configs/b.1/f1
rndis_deregister+0x28/0x54
rndis_free+0x44/0x7c
usb_put_function+0x14/0x1c
config_usb_cfg_unlink+0xc4/0xe0
configfs_unlink+0x124/0x1c8
vfs_unlink+0x114/0x1dc
(3) rmdir /config/usb_gadget/g1/functions/rndis.gs4
panic+0x1fc/0x3d0
do_page_fault+0xa8/0x46c
do_mem_abort+0x3c/0xac
el1_sync_handler+0x40/0x78
0xffffff801138f880
rndis_close+0x28/0x34
eth_stop+0x74/0x110
dev_close_many+0x48/0x194
rollback_registered_many+0x118/0x814
unregister_netdev+0x20/0x30
gether_cleanup+0x1c/0x38
rndis_attr_release+0xc/0x14
kref_put+0x74/0xb8
configfs_rmdir+0x314/0x374
If gadget->ops->pullup() return an error, function rndis_close() will be
called, then it will causes a use-after-free problem.
=======================================================================
📍 영향받는 시스템
USB 가젯(RNDIS 등)을 사용하는 Linux 커널 일부 버전 (임베디드 장치, 안드로이드 기반 장비 등)
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 configfs를 통해 USB 가젯 설정을 반복 변경하여 시스템 불안정 또는 패닉을 유발할 수 있음
🛡️ 대응 방법
Linux 커널을 해당 커밋이 포함된 최신 안정 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전을 배포판 보안 공지 또는 커널 패치 목록과 대조하고, 'usb_gadget configfs 사용 중'이 나오면 해당 기능이 활성화되어 있어 패치 필요성이 높으며, '미사용'이면 위험도가 낮습니다.
uname -r && (ls /sys/kernel/config/usb_gadget 2>/dev/null && echo 'usb_gadget configfs 사용 중' || echo 'usb_gadget configfs 미사용')