🇰🇷 한글 설명
Linux 커널 ext4 파일시스템의 ext4_split_extent_at() 함수에서 메모리 할당 해제 후 같은 메모리를 재참조하는 use-after-free 취약점입니다. ext4_find_extent() 호출 중 오류 발생 시 경로 메모리가 해제되지만 이후 코드에서 여전히 참조되어 커널 패닉이나 권한 상승을 유발합니다.
💡 쉬운 설명
파일을 쓸 때 커널이 해제한 메모리를 계속 접근하려고 하면서 시스템이 충돌하는 버그입니다. 로컬 사용자가 특정 파일 쓰기 작업을 반복하면 시스템을 무너뜨릴 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ext4: fix slab-use-after-free in ext4_split_extent_at()
We hit the following use-after-free:
==================================================================
BUG: KASAN: slab-use-after-free in ext4_split_extent_at+0xba8/0xcc0
Read of size 2 at addr ffff88810548ed08 by task kworker/u20:0/40
CPU: 0 PID: 40 Comm: kworker/u20:0 Not tainted 6.9.0-dirty #724
Call Trace:
<TASK>
kasan_report+0x93/0xc0
ext4_split_extent_at+0xba8/0xcc0
ext4_split_extent.isra.0+0x18f/0x500
ext4_split_convert_extents+0x275/0x750
ext4_ext_handle_unwritten_extents+0x73e/0x1580
ext4_ext_map_blocks+0xe20/0x2dc0
ext4_map_blocks+0x724/0x1700
ext4_do_writepages+0x12d6/0x2a70
[...]
Allocated by task 40:
__kmalloc_noprof+0x1ac/0x480
ext4_find_extent+0xf3b/0x1e70
ext4_ext_map_blocks+0x188/0x2dc0
ext4_map_blocks+0x724/0x1700
ext4_do_writepages+0x12d6/0x2a70
[...]
Freed by task 40:
kfree+0xf1/0x2b0
ext4_find_extent+0xa71/0x1e70
ext4_ext_insert_extent+0xa22/0x3260
ext4_split_extent_at+0x3ef/0xcc0
ext4_split_extent.isra.0+0x18f/0x500
ext4_split_convert_extents+0x275/0x750
ext4_ext_handle_unwritten_extents+0x73e/0x1580
ext4_ext_map_blocks+0xe20/0x2dc0
ext4_map_blocks+0x724/0x1700
ext4_do_writepages+0x12d6/0x2a70
[...]
==================================================================
The flow of issue triggering is as follows:
ext4_split_extent_at
path = *ppath
ext4_ext_insert_extent(ppath)
ext4_ext_create_new_leaf(ppath)
ext4_find_extent(orig_path)
path = *orig_path
read_extent_tree_block
// return -ENOMEM or -EIO
ext4_free_ext_path(path)
kfree(path)
*orig_path = NULL
a. If err is -ENOMEM:
ext4_ext_dirty(path + path->p_depth)
// path use-after-free !!!
b. If err is -EIO and we have EXT_DEBUG defined:
ext4_ext_show_leaf(path)
eh = path[depth].p_hdr
// path also use-after-free !!!
So when trying to zeroout or fix the extent length, call ext4_find_extent()
to update the path.
In addition we use *ppath directly as an ext4_ext_show_leaf() input to
avoid possible use-after-free when EXT_DEBUG is defined, and to avoid
unnecessary path updates.
📍 영향받는 시스템
Linux 커널 6.9.0 이전 버전의 ext4 파일시스템 (특히 동시 쓰기 작업 중)
⚔️ 공격 벡터
로컬 권한 사용자가 ext4 파일시스템에 특정 패턴의 쓰기 작업을 트리거하여 커널 메모리 손상 유도
🛡️ 대응 방법
Linux 커널을 패치된 6.9.1 이상 또는 해당 배포판의 최신 안정 버전으로 업데이트
🔧 검증 코드
커널 버전이 6.9.1 이상이면 패치됨, 6.9.0 이하면 취약함을 표시합니다.
uname -r | awk -F. '{if($1>6 || ($1==6 && $2>9) || ($1==6 && $2==9 && $3>=1)) print "patched"; else print "vulnerable"}'