🇰🇷 한글 설명
Linux 커널의 SCSI IMM 드라이버에서 지연된 작업(delayed work)이 완료되기 전에 장치가 분리될 경우 발생하는 Use-After-Free 취약점입니다. imm_detach() 호출 시 실행 중인 imm_interrupt() 작업이 이미 해제된 메모리에 접근하여 시스템 불안정이나 오류를 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터 부품을 제거하는 과정에서 아직 처리 중인 작업이 남아 있어, 이미 사라진 메모리 공간을 다시 사용하려고 시도할 때 발생하는 오류입니다. 이로 인해 시스템이 멈추거나 예상치 못한 동작을 할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
scsi: imm: Fix use-after-free bug caused by unfinished delayed work
The delayed work item 'imm_tq' is initialized in imm_attach() and
scheduled via imm_queuecommand() for processing SCSI commands. When the
IMM parallel port SCSI host adapter is detached through imm_detach(),
the imm_struct device instance is deallocated.
However, the delayed work might still be pending or executing
when imm_detach() is called, leading to use-after-free bugs
when the work function imm_interrupt() accesses the already
freed imm_struct memory.
The race condition can occur as follows:
CPU 0(detach thread) | CPU 1
| imm_queuecommand()
| imm_queuecommand_lck()
imm_detach() | schedule_delayed_work()
kfree(dev) //FREE | imm_interrupt()
| dev = container_of(...) //USE
dev-> //USE
Add disable_delayed_work_sync() in imm_detach() to guarantee proper
cancellation of the delayed work item before imm_struct is deallocated.
📍 영향받는 시스템
IMM parallel port SCSI host adapter를 사용하는 Linux 커널 시스템
⚔️ 공격 벡터
로컬 공격자가 특정 타이밍에 SCSI 장치를 분리(detach)하는 레이스 컨디션 유도
🛡️ 대응 방법
imm_detach() 함수 내에 disable_delayed_work_sync()를 추가하여 메모리 해제 전 지연된 작업을 안전하게 취소하도록 커널 패치 적용
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 수정된 패치 버전인지 확인합니다.