🇰🇷 한글 설명
Linux 커널의 RDMA/umad 드라이버 ib_umad_write 함수에서 사용자 제어 입력으로 인해 음수 data_len이 계산되어 ib_create_send_mad()로 전달될 수 있습니다. 이는 alloc_send_rmpp_list()에서 범위를 벗어난 memset을 유발하는 힙 오버플로우 취약점입니다. 커널 업데이트를 통해 send buffer 생성 전에 음수 data_len을 명시적으로 검증하도록 수정되었습니다.
💡 쉬운 설명
Linux 커널의 RDMA 네트워크 드라이버가 사용자 입력을 잘못 처리하여 메모리 범위를 벗어나 쓰기 작업을 수행할 수 있습니다. 로컬 공격자가 이를 악용하여 시스템 메모리를 손상시키고 권한 상승 또는 서비스 거부를 야기할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
RDMA/umad: Reject negative data_len in ib_umad_write
ib_umad_write computes data_len from user-controlled count and the
MAD header sizes. With a mismatched user MAD header size and RMPP
header length, data_len can become negative and reach ib_create_send_mad().
This can make the padding calculation exceed the segment size and trigger
an out-of-bounds memset in alloc_send_rmpp_list().
Add an explicit check to reject negative data_len before creating the
send buffer.
KASAN splat:
[ 211.363464] BUG: KASAN: slab-out-of-bounds in ib_create_send_mad+0xa01/0x11b0
[ 211.364077] Write of size 220 at addr ffff88800c3fa1f8 by task spray_thread/102
[ 211.365867] ib_create_send_mad+0xa01/0x11b0
[ 211.365887] ib_umad_write+0x853/0x1c80
📍 영향받는 시스템
Linux kernel 전체 버전의 RDMA/umad 드라이버 (infiniband-core 모듈 포함)
⚔️ 공격 벡터
로컬 공격자가 ioctl을 통해 ib_umad_write에 조작된 MAD/RMPP 헤더를 전송하여 음수 data_len 발생 유도
🛡️ 대응 방법
Linux 커널을 CVE-2026-23243 패치가 포함된 버전 이상으로 업데이트 (sudo apt update && sudo apt upgrade linux-image-generic)
🔧 검증 코드
명령어에서 음수 data_len 검증 코드가 출력되면 패치 적용됨, 출력 없으면 미적용 상태 또는 커널 소스 미설치
grep -n 'if.*data_len.*<\|Reject negative' /usr/src/linux-headers-$(uname -r)/drivers/infiniband/core/umad.c 2>/dev/null || echo 'Check kernel source or version'