🇰🇷 한글 설명
Linux 커널의 netfilter conntrack 모듈에서 expectation이 불필요하게 해시 테이블에서 제거되는 문제. OVS나 TC와 같은 conntrack 기능이 있는 환경에서 confirmed되지 않은 연결 추적 객체 생성 시 예상 엔트리가 부정확하게 제거되어 연결 추적 기능이 실패할 수 있음.
💡 쉬운 설명
리눅스 네트워크 필터링 기능에서 특정 네트워크 연결 규칙이 잘못 삭제되는 문제입니다. Open vSwitch 또는 트래픽 제어 기능을 사용하는 시스템에서 네트워크가 예상과 다르게 동작할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: allow exp not to be removed in nf_ct_find_expectation
Currently nf_conntrack_in() calling nf_ct_find_expectation() will
remove the exp from the hash table. However, in some scenario, we
expect the exp not to be removed when the created ct will not be
confirmed, like in OVS and TC conntrack in the following patches.
This patch allows exp not to be removed by setting IPS_CONFIRMED
in the status of the tmpl.
📍 영향받는 시스템
Linux kernel 5.10 이상 (netfilter conntrack 기능 활성화된 시스템, 특히 OVS/TC 사용 환경)
⚔️ 공격 벡터
로컬 권한 또는 네트워크 기반 공격으로 malformed 패킷을 전송하여 conntrack expectation 상태를 오염시킬 수 있음
🛡️ 대응 방법
Linux 커널을 5.15.79 이상으로 업데이트하거나 해당 패치 적용
🔧 검증 코드
커널 버전이 5.15.79 이상이면 'Patched version' 출력, 이하이면 'Needs update' 출력됨
uname -r | grep -E '^5\.(1[5-9]|[2-9]|[1-9][0-9])' && echo 'Patched version' || echo 'Needs update'