🇰🇷 한글 설명
Linux 커널의 HTB(Hierarchical Token Bucket) 네트워크 스케줄러에서 빈 레드블랙 트리를 처리할 때 BUG_ON이 트리거되어 커널 패닉이 발생하는 로컬 DoS 취약점이다. 특정 traffic control(tc) 명령 조합으로 netem과 blackhole qdisc 구조가 손상되면 htb_lookup_leaf 함수가 빈 트리에 접근하게 된다. 수정은 BUG_ON 대신 NULL을 반환하도록 변경했다.
💡 쉬운 설명
Linux가 네트워크 트래픽을 관리하는 부분에서 특정 설정 명령어 조합으로 시스템이 충돌할 수 있다. 로컬 사용자가 tc 명령어로 트리거하여 시스템 다운(DoS)을 유발할 수 있다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net/sched: Return NULL when htb_lookup_leaf encounters an empty rbtree
htb_lookup_leaf has a BUG_ON that can trigger with the following:
tc qdisc del dev lo root
tc qdisc add dev lo root handle 1: htb default 1
tc class add dev lo parent 1: classid 1:1 htb rate 64bit
tc qdisc add dev lo parent 1:1 handle 2: netem
tc qdisc add dev lo parent 2:1 handle 3: blackhole
ping -I lo -c1 -W0.001 127.0.0.1
The root cause is the following:
1. htb_dequeue calls htb_dequeue_tree which calls the dequeue handler on
the selected leaf qdisc
2. netem_dequeue calls enqueue on the child qdisc
3. blackhole_enqueue drops the packet and returns a value that is not
just NET_XMIT_SUCCESS
4. Because of this, netem_dequeue calls qdisc_tree_reduce_backlog, and
since qlen is now 0, it calls htb_qlen_notify -> htb_deactivate ->
htb_deactiviate_prios -> htb_remove_class_from_row -> htb_safe_rb_erase
5. As this is the only class in the selected hprio rbtree,
__rb_change_child in __rb_erase_augmented sets the rb_root pointer to
NULL
6. Because blackhole_dequeue returns NULL, netem_dequeue returns NULL,
which causes htb_dequeue_tree to call htb_lookup_leaf with the same
hprio rbtree, and fail the BUG_ON
The function graph for this scenario is shown here:
0) | htb_enqueue() {
0) + 13.635 us | netem_enqueue();
0) 4.719 us | htb_activate_prios();
0) # 2249.199 us | }
0) | htb_dequeue() {
0) 2.355 us | htb_lookup_leaf();
0) | netem_dequeue() {
0) + 11.061 us | blackhole_enqueue();
0) | qdisc_tree_reduce_backlog() {
0) | qdisc_lookup_rcu() {
0) 1.873 us | qdisc_match_from_root();
0) 6.292 us | }
0) 1.894 us | htb_search();
0) | htb_qlen_notify() {
0) 2.655 us | htb_deactivate_prios();
0) 6.933 us | }
0) + 25.227 us | }
0) 1.983 us | blackhole_dequeue();
0) + 86.553 us | }
0) # 2932.761 us | qdisc_warn_nonwc();
0) | htb_lookup_leaf() {
0) | BUG_ON();
------------------------------------------
The full original bug report can be seen here [1].
We can fix this just by returning NULL instead of the BUG_ON,
as htb_dequeue_tree returns NULL when htb_lookup_leaf returns
NULL.
[1] https://lore.kernel.org/netdev/pF5XOOIim0IuEfhI-SOxTgRvNoDwuux7UHKnE_Y5-zVd4wmGvNk2ceHjKb8ORnzw0cGwfmVu42g9dL7XyJLf1NEzaztboTWcm0Ogxuojoeo=@willsroot.io/
📍 영향받는 시스템
Linux kernel 최근 버전들 (정확한 버전 범위는 배포판별로 상이)
⚔️ 공격 벡터
로컬 공격. tc qdisc 명령어를 통해 특정 queueing discipline 구조 생성 후 트래픽 발생으로 트리거
🛡️ 대응 방법
Linux kernel 패치 적용 (최신 커널로 업그레이드 후 재부팅)
🔧 검증 코드
커널 버전 확인 후, HTB와 netem 스케줄러 모듈 로드 상태 및 tc 명령어 설치 여부를 확인. 최신 패치된 커널 버전으로 업그레이드 필요.
uname -r && lsmod | grep -E 'sch_htb|sch_netem' && which tc