🇰🇷 한글 설명
Linux 커널의 NFS 잠금 해제 경로에서, nfs_get_lock_context()가 메모리 부족으로 실패했을 때 -ENOMEM 오류 값을 유효한 포인터처럼 취급하여 rpc_run_task()를 실행하는 문제가 있었습니다. 이로 인해 nfs4_locku_prepare에서 NULL 포인터 역참조가 발생해 커널 패닉이 날 수 있으며, 실패 시 할당된 구조체를 해제하고 NULL을 반환하도록 수정되었습니다.
💡 쉬운 설명
메모리가 부족할 때 NFS 파일 잠금을 풀려는 과정에서 잘못된 값을 사용해 커널이 멈출 수 있는 결함입니다. 수정으로 메모리 부족 상황에서도 실패를 올바르게 처리해 시스템이 비정상 종료되지 않도록 합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
nfs: handle failure of nfs_get_lock_context in unlock path
When memory is insufficient, the allocation of nfs_lock_context in
nfs_get_lock_context() fails and returns -ENOMEM. If we mistakenly treat
an nfs4_unlockdata structure (whose l_ctx member has been set to -ENOMEM)
as valid and proceed to execute rpc_run_task(), this will trigger a NULL
pointer dereference in nfs4_locku_prepare. For example:
BUG: kernel NULL pointer dereference, address: 000000000000000c
PGD 0 P4D 0
Oops: Oops: 0000 [#1] SMP PTI
CPU: 15 UID: 0 PID: 12 Comm: kworker/u64:0 Not tainted 6.15.0-rc2-dirty #60
Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40
Workqueue: rpciod rpc_async_schedule
RIP: 0010:nfs4_locku_prepare+0x35/0xc2
Code: 89 f2 48 89 fd 48 c7 c7 68 69 ef b5 53 48 8b 8e 90 00 00 00 48 89 f3
RSP: 0018:ffffbbafc006bdb8 EFLAGS: 00010246
RAX: 000000000000004b RBX: ffff9b964fc1fa00 RCX: 0000000000000000
RDX: 0000000000000000 RSI: fffffffffffffff4 RDI: ffff9ba53fddbf40
RBP: ffff9ba539934000 R08: 0000000000000000 R09: ffffbbafc006bc38
R10: ffffffffb6b689c8 R11: 0000000000000003 R12: ffff9ba539934030
R13: 0000000000000001 R14: 0000000004248060 R15: ffffffffb56d1c30
FS: 0000000000000000(0000) GS:ffff9ba5881f0000(0000) knlGS:00000000
CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033
CR2: 000000000000000c CR3: 000000093f244000 CR4: 00000000000006f0
Call Trace:
<TASK>
__rpc_execute+0xbc/0x480
rpc_async_schedule+0x2f/0x40
process_one_work+0x232/0x5d0
worker_thread+0x1da/0x3d0
? __pfx_worker_thread+0x10/0x10
kthread+0x10d/0x240
? __pfx_kthread+0x10/0x10
ret_from_fork+0x34/0x50
? __pfx_kthread+0x10/0x10
ret_from_fork_asm+0x1a/0x30
</TASK>
Modules linked in:
CR2: 000000000000000c
---[ end trace 0000000000000000 ]---
Free the allocated nfs4_unlockdata when nfs_get_lock_context() fails and
return NULL to terminate subsequent rpc_run_task, preventing NULL pointer
dereference.
📍 영향받는 시스템
NFSv4 클라이언트 기능을 사용하는 수정 전 Linux 커널 버전 (6.15-rc2 등 해당 시점 이후 및 관련 안정 브랜치)
⚔️ 공격 벡터
로컬에서 메모리를 고갈시키는 조건을 유도해 커널 NULL 포인터 역참조를 일으키는 방식으로, 서비스 거부(DoS) 가능성이 있음
🛡️ 대응 방법
배포판 제공 커널 보안 업데이트를 적용하거나 CVE-2025-38023을 수정한 Linux 커널 버전으로 업그레이드
🔧 검증 코드
커널 버전이 수정된 패키지 버전 이상인지 배포판 보안 공지와 비교하고, NFS 지원 여부를 확인하여 NFSv4 클라이언트 사용 시 영향 가능성을 판단합니다.
uname -r; grep -i nfs /proc/filesystems 2>/dev/null