🇰🇷 한글 설명
리눅스 커널의 fsnotify에서 특수 파일(/dev/null 등)에 대해 ACCESS/MODIFY 이벤트를 생성하는 취약점이 해결되었습니다. 기존에는 읽기 권한이 없는 사용자도 상위 디렉토리 권한을 이용해 특수 파일의 접근 및 수정 여부를 감지할 수 있는 사이드 채널 공격이 가능했습니다. 이번 패치를 통해 특수 파일의 일반적인 읽기/쓰기 동작 시에는 이벤트를 생성하지 않도록 수정되었습니다.
💡 쉬운 설명
특정 시스템 파일에 접근 권한이 없는 사용자가 파일의 변화를 몰래 훔쳐볼 수 있는 보안 허점이 발견되었습니다. 이제는 권한이 없는 사용자가 파일이 사용 중인지 감지하기 어려워져 정보 유출 위험이 줄어들었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
fsnotify: do not generate ACCESS/MODIFY events on child for special files
inotify/fanotify do not allow users with no read access to a file to
subscribe to events (e.g. IN_ACCESS/IN_MODIFY), but they do allow the
same user to subscribe for watching events on children when the user
has access to the parent directory (e.g. /dev).
Users with no read access to a file but with read access to its parent
directory can still stat the file and see if it was accessed/modified
via atime/mtime change.
The same is not true for special files (e.g. /dev/null). Users will not
generally observe atime/mtime changes when other users read/write to
special files, only when someone sets atime/mtime via utimensat().
Align fsnotify events with this stat behavior and do not generate
ACCESS/MODIFY events to parent watchers on read/write of special files.
The events are still generated to parent watchers on utimensat(). This
closes some side-channels that could be possibly used for information
exfiltration [1].
[1] https://snee.la/pdf/pubs/file-notification-attacks.pdf
📍 영향받는 시스템
Linux Kernel (fsnotify/inotify/fanotify 관련 모듈 사용 시스템)
⚔️ 공격 벡터
상위 디렉토리 읽기 권한을 이용해 특수 파일의 접근/수정 이벤트를 모니터링하는 사이드 채널 공격
🛡️ 대응 방법
최신 보안 패치가 적용된 리눅스 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 최신 패치 버전인지 배포판 보안 공지를 통해 확인하십시오.