🇰🇷 한글 설명
Linux 커널의 netfilter nf_tables 구성 요소에서 set 요소의 타임아웃 확인 시 발생하는 취약점입니다. 트랜잭션 시작 시 타임아웃 체크를 위한 타임스탬프를 사용하여, 제어 평면의 트랜잭션이 완료되기 전에 요소가 만료되는 문제를 해결했습니다.
💡 쉬운 설명
네트워크 규칙을 관리하는 시스템에서 데이터가 너무 빨리 삭제되어 설정이 꼬이는 문제가 있었습니다. 이로 인해 시스템의 보안 규칙이 의도치 않게 작동하거나 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_tables: use timestamp to check for set element timeout
Add a timestamp field at the beginning of the transaction, store it
in the nftables per-netns area.
Update set backend .insert, .deactivate and sync gc path to use the
timestamp, this avoids that an element expires while control plane
transaction is still unfinished.
.lookup and .update, which are used from packet path, still use the
current time to check if the element has expired. And .get path and dump
also since this runs lockless under rcu read size lock. Then, there is
async gc which also needs to check the current time since it runs
asynchronously from a workqueue.
📍 영향받는 시스템
Linux kernel (nf_tables 구성 요소가 포함된 버전)
⚔️ 공격 벡터
로컬 공격자가 조작된 nftables 트랜잭션을 통해 커널의 상태 불일치를 유도할 수 있음
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인하십시오.