🇰🇷 한글 설명
리눅스 커널의 netfilter nf_tables 구성 요소에서 동일한 배치 내에 중복된 장치가 포함된 체인 또는 플로우테이블 업데이트가 가능합니다. 이로 인해 중복된 장치의 훅(hook)이 제대로 등록 해제되지 않아 커널 경고가 발생할 수 있습니다.
💡 쉬운 설명
리눅스 네트워크 설정 과정에서 똑같은 장치를 두 번 등록하려고 할 때 발생하는 오류입니다. 이 오류로 인해 시스템 내부 설정이 꼬이거나 경고 메시지가 나타날 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_tables: reject duplicate device on updates
A chain/flowtable update with duplicated devices in the same batch is
possible. Unfortunately, netdev event path only removes the first
device that is found, leaving unregistered the hook of the duplicated
device.
Check if a duplicated device exists in the transaction batch, bail out
with EEXIST in such case.
WARNING is hit when unregistering the hook:
[49042.221275] WARNING: CPU: 4 PID: 8425 at net/netfilter/core.c:340 nf_hook_entry_head+0xaa/0x150
[49042.221375] CPU: 4 UID: 0 PID: 8425 Comm: nft Tainted: G S 6.16.0+ #170 PREEMPT(full)
[...]
[49042.221382] RIP: 0010:nf_hook_entry_head+0xaa/0x150
📍 영향받는 시스템
Linux kernel (nf_tables 구성 요소가 포함된 버전)
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 중복된 장치를 포함한 nftables 업데이트 트랜잭션을 실행하여 발생
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인하십시오.