🇰🇷 한글 설명
Linux 커널의 erspan 모듈에서 ip_tunnel_info 구조체의 options_len 변수가 참조되기 전에 초기화되지 않는 취약점이 발견되었습니다. 이로 인해 GCC 15 이상 및 FORTIFY_SOURCE가 설정된 환경에서 GRE ERSPAN 트래픽 처리 시 커널 패닉(Kernel Panic)이 발생할 수 있습니다.
💡 쉬운 설명
데이터의 길이를 저장하는 변수가 준비되기 전에 데이터를 복사하려고 시도하여 시스템이 충돌하는 문제입니다. 이로 인해 서버가 갑자기 멈추거나 재부팅될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
erspan: Initialize options_len before referencing options.
The struct ip_tunnel_info has a flexible array member named
options that is protected by a counted_by(options_len)
attribute.
The compiler will use this information to enforce runtime bounds
checking deployed by FORTIFY_SOURCE string helpers.
As laid out in the GCC documentation, the counter must be
initialized before the first reference to the flexible array
member.
After scanning through the files that use struct ip_tunnel_info
and also refer to options or options_len, it appears the normal
case is to use the ip_tunnel_info_opts_set() helper.
Said helper would initialize options_len properly before copying
data into options, however in the GRE ERSPAN code a partial
update is done, preventing the use of the helper function.
Before this change the handling of ERSPAN traffic in GRE tunnels
would cause a kernel panic when the kernel is compiled with
GCC 15+ and having FORTIFY_SOURCE configured:
memcpy: detected buffer overflow: 4 byte write of buffer size 0
Call Trace:
<IRQ>
__fortify_panic+0xd/0xf
erspan_rcv.cold+0x68/0x83
? ip_route_input_slow+0x816/0x9d0
gre_rcv+0x1b2/0x1c0
gre_rcv+0x8e/0x100
? raw_v4_input+0x2a0/0x2b0
ip_protocol_deliver_rcu+0x1ea/0x210
ip_local_deliver_finish+0x86/0x110
ip_local_deliver+0x65/0x110
? ip_rcv_finish_core+0xd6/0x360
ip_rcv+0x186/0x1a0
Reported-at: https://launchpad.net/bugs/2129580
📍 영향받는 시스템
Linux Kernel (GCC 15+ 및 FORTIFY_SOURCE 활성화 환경에서 GRE ERSPAN 사용 시)
⚔️ 공격 벡터
조작된 ERSPAN 트래픽을 GRE 터널을 통해 전송하여 커널 패닉 유도
🛡️ 대응 방법
해당 취약점이 수정된 최신 Linux 커널 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 릴리스인지 확인