🇰🇷 한글 설명
Linux 커널의 net: gso 구성 요소 내 __udp_gso_segment 함수에서 skb 파괴자가 제거될 때 소켓 참조가 적절히 처리되지 않는 취약점입니다. OpenVSwitch를 사용할 때 특정 액션 순서에 따라 skb_orphan 호출 시 커널 버그(Kernel BUG)를 유발할 수 있습니다.
💡 쉬운 설명
네트워크 데이터를 처리하는 과정에서 데이터의 소유권 정보가 꼬여 시스템이 예상치 못한 오류를 일으키는 문제입니다. 이로 인해 시스템이 멈추거나 커널 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: gso: fix ownership in __udp_gso_segment
In __udp_gso_segment the skb destructor is removed before segmenting the
skb but the socket reference is kept as-is. This is an issue if the
original skb is later orphaned as we can hit the following bug:
kernel BUG at ./include/linux/skbuff.h:3312! (skb_orphan)
RIP: 0010:ip_rcv_core+0x8b2/0xca0
Call Trace:
ip_rcv+0xab/0x6e0
__netif_receive_skb_one_core+0x168/0x1b0
process_backlog+0x384/0x1100
__napi_poll.constprop.0+0xa1/0x370
net_rx_action+0x925/0xe50
The above can happen following a sequence of events when using
OpenVSwitch, when an OVS_ACTION_ATTR_USERSPACE action precedes an
OVS_ACTION_ATTR_OUTPUT action:
1. OVS_ACTION_ATTR_USERSPACE is handled (in do_execute_actions): the skb
goes through queue_gso_packets and then __udp_gso_segment, where its
destructor is removed.
2. The segments' data are copied and sent to userspace.
3. OVS_ACTION_ATTR_OUTPUT is handled (in do_execute_actions) and the
same original skb is sent to its path.
4. If it later hits skb_orphan, we hit the bug.
Fix this by also removing the reference to the socket in
__udp_gso_segment.
📍 영향받는 시스템
OpenVSwitch를 사용하는 Linux 커널 시스템
⚔️ 공격 벡터
OpenVSwitch 환경에서 특정 네트워크 패킷 처리 시퀀스(USERSPACE 액션 후 OUTPUT 액션)를 유도하여 발생
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 __udp_gso_segment의 소켓 참조 제거 로직을 반영해야 합니다.
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 수정된 패치 버전인지 확인합니다.