🇰🇷 한글 설명
리눅스 커널의 UDP GRO(Generic Receive Offload) 처리 과정에서 네트워크 오프셋을 잘못 계산하는 취약점이 발견되었습니다. 특정 하드웨어 NIC나 tun 드라이버를 사용하는 환경에서 캡슐화 플래그가 잘못 설정되어 UDP 헤더의 의사 체크섬(pseudo checksum) 계산 오류를 유발합니다. 이로 인해 패킷 처리 과정에서 체크섬 검증 오류가 발생할 수 있습니다.
💡 쉬운 설명
네트워크 데이터를 빠르게 처리하는 과정에서 데이터의 위치를 잘못 계산하여 통신 오류가 발생하는 문제입니다. 특정 네트워크 장비를 사용할 때 데이터가 깨진 것으로 오인되어 연결이 불안정해질 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: gro: fix outer network offset
The udp GRO complete stage assumes that all the packets inserted the RX
have the `encapsulation` flag zeroed. Such assumption is not true, as a
few H/W NICs can set such flag when H/W offloading the checksum for
an UDP encapsulated traffic, the tun driver can inject GSO packets with
UDP encapsulation and the problematic layout can also be created via
a veth based setup.
Due to the above, in the problematic scenarios, udp4_gro_complete() uses
the wrong network offset (inner instead of outer) to compute the outer
UDP header pseudo checksum, leading to csum validation errors later on
in packet processing.
Address the issue always clearing the encapsulation flag at GRO completion
time. Such flag will be set again as needed for encapsulated packets by
udp_gro_complete().
📍 영향받는 시스템
UDP 캡슐화 및 GRO 기능을 사용하는 리눅스 커널 기반 시스템 (특정 NIC 또는 tun/veth 드라이버 사용 환경)
⚔️ 공격 벡터
직접적인 원격 코드 실행보다는 특정 네트워크 환경을 구성하여 패킷 처리 오류 및 서비스 불안정을 유발하는 방식
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 GRO 완료 시 캡슐화 플래그를 명확히 초기화하도록 수정해야 합니다.
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 패치 버전 이상인지 확인합니다.