🇰🇷 한글 설명
Linux 커널의 BPF 프로그램이 sockmap/sockhash에서 delete 작업을 수행할 때 locking rule 위반으로 인한 시스템 불안정성이 발생합니다. 이를 해결하기 위해 update 작업이 허용된 BPF 프로그램만 delete도 수행할 수 있도록 verifier 검증 규칙이 강화되었습니다.
💡 쉬운 설명
Linux 커널의 특정 기능이 잘못된 방식으로 사용되면 시스템이 불안정해지는 문제를 발견했습니다. 이를 막기 위해 권한이 있는 프로그램만 해당 기능을 사용하도록 제한했습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
bpf: Allow delete from sockmap/sockhash only if update is allowed
We have seen an influx of syzkaller reports where a BPF program attached to
a tracepoint triggers a locking rule violation by performing a map_delete
on a sockmap/sockhash.
We don't intend to support this artificial use scenario. Extend the
existing verifier allowed-program-type check for updating sockmap/sockhash
to also cover deleting from a map.
From now on only BPF programs which were previously allowed to update
sockmap/sockhash can delete from these map types.
📍 영향받는 시스템
Linux kernel (모든 영향받는 버전, 배포판별로 상이)
⚔️ 공격 벡터
BPF 프로그램을 tracepoint에 attach하여 sockmap/sockhash에서 허가되지 않은 delete 작업 수행
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
커널 버전 확인 후 배포판별 패치된 커널 버전보다 높으면 보안이 적용됨