🇰🇷 한글 설명
리눅스 커널의 블루투스 스택에서 HCI_EV_HARDWARE_ERROR 이벤트를 처리할 때 발생하는 Use-After-Free 취약점입니다. 블루투스 컨트롤러가 응답하지 않을 경우 GPIO 리셋 메커니즘이 hci_dev를 해제하여 hci_error_reset 함수에서 메모리 오류를 유발할 수 있습니다.
💡 쉬운 설명
블루투스 장치에 오류가 발생했을 때 시스템이 장치를 초기화하는 과정에서 이미 삭제된 메모리 영역을 다시 사용하려고 시도하는 문제입니다. 이로 인해 시스템이 갑자기 멈추거나 충돌이 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
Bluetooth: Avoid potential use-after-free in hci_error_reset
While handling the HCI_EV_HARDWARE_ERROR event, if the underlying
BT controller is not responding, the GPIO reset mechanism would
free the hci_dev and lead to a use-after-free in hci_error_reset.
Here's the call trace observed on a ChromeOS device with Intel AX201:
queue_work_on+0x3e/0x6c
__hci_cmd_sync_sk+0x2ee/0x4c0 [bluetooth <HASH:3b4a6>]
? init_wait_entry+0x31/0x31
__hci_cmd_sync+0x16/0x20 [bluetooth <HASH:3b4a 6>]
hci_error_reset+0x4f/0xa4 [bluetooth <HASH:3b4a 6>]
process_one_work+0x1d8/0x33f
worker_thread+0x21b/0x373
kthread+0x13a/0x152
? pr_cont_work+0x54/0x54
? kthread_blkcg+0x31/0x31
ret_from_fork+0x1f/0x30
This patch holds the reference count on the hci_dev while processing
a HCI_EV_HARDWARE_ERROR event to avoid potential crash.
📍 영향받는 시스템
Linux kernel (Bluetooth subsystem)
⚔️ 공격 벡터
블루투스 컨트롤러의 하드웨어 오류를 유도하여 커널 메모리 오류를 일으키는 방식
🛡️ 대응 방법
hci_dev의 참조 카운트를 유지하도록 수정된 최신 리눅스 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 버전인지 확인합니다.