🇰🇷 한글 설명
Linux 커널의 Open vSwitch 구성 요소에서 conntrack 엔트리의 레이블 확장 기능을 처리하는 과정 중 경고(Warning)가 발생하는 취약점입니다. 특정 커밋 이후 레이블 카운팅 방식이 변경되면서, 외부에서 생성된 conntrack 엔트리에 레이블을 할당하려 할 때 커널의 검증 로직과 충돌하여 문제가 발생합니다.
💡 쉬운 설명
네트워크 연결 정보를 관리하는 시스템에서 데이터 처리 방식이 바뀌면서 시스템에 경고 메시지가 뜨거나 불안정해질 수 있는 문제입니다. 이 문제를 해결하기 위해 문제가 된 최신 변경 사항을 이전 상태로 되돌리는 조치가 취해졌습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
Revert "openvswitch: switch to per-action label counting in conntrack"
Currently, ovs_ct_set_labels() is only called for confirmed conntrack
entries (ct) within ovs_ct_commit(). However, if the conntrack entry
does not have the labels_ext extension, attempting to allocate it in
ovs_ct_get_conn_labels() for a confirmed entry triggers a warning in
nf_ct_ext_add():
WARN_ON(nf_ct_is_confirmed(ct));
This happens when the conntrack entry is created externally before OVS
increments net->ct.labels_used. The issue has become more likely since
commit fcb1aa5163b1 ("openvswitch: switch to per-action label counting
in conntrack"), which changed to use per-action label counting and
increment net->ct.labels_used when a flow with ct action is added.
Since there’s no straightforward way to fully resolve this issue at the
moment, this reverts the commit to avoid breaking existing use cases.
📍 영향받는 시스템
Open vSwitch를 사용하는 Linux 커널 시스템 (특정 커밋 fcb1aa5163b1 적용 이후 버전)
⚔️ 공격 벡터
직접적인 공격보다는 시스템 운영 중 특정 네트워크 흐름(flow) 처리 과정에서 커널 경고를 유발하여 시스템 안정성을 저해할 수 있음
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하거나, 해당 취약점이 해결된 커널로 재빌드하여 적용
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인