🇰🇷 한글 설명
Linux 커널의 rivafb 드라이버에서 nv3_arb() 함수가 mclk_khz 값을 검증 없이 나누기 연산의 분모로 사용하여 발생하는 제로 나누기(divide error) 취약점입니다. 공격자가 조작된 PCI 장치를 통해 mclk_khz 값을 0으로 설정하면 커널 패닉이 발생하여 시스템이 충돌할 수 있습니다.
💡 쉬운 설명
컴퓨터의 그래픽 드라이버가 계산을 할 때 0으로 나누는 실수를 하여 시스템이 갑자기 멈추는 문제입니다. 가짜 장치를 연결해 이 숫자를 0으로 만들면 컴퓨터를 강제로 다운시킬 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
fbdev: rivafb: fix divide error in nv3_arb()
A userspace program can trigger the RIVA NV3 arbitration code by calling
the FBIOPUT_VSCREENINFO ioctl on /dev/fb*. When doing so, the driver
recomputes FIFO arbitration parameters in nv3_arb(), using state->mclk_khz
(derived from the PRAMDAC MCLK PLL) as a divisor without validating it
first.
In a normal setup, state->mclk_khz is provided by the real hardware and is
non-zero. However, an attacker can construct a malicious or misconfigured
device (e.g. a crafted/emulated PCI device) that exposes a bogus PLL
configuration, causing state->mclk_khz to become zero. Once
nv3_get_param() calls nv3_arb(), the division by state->mclk_khz in the gns
calculation causes a divide error and crashes the kernel.
Fix this by checking whether state->mclk_khz is zero and bailing out before
doing the division.
The following log reveals it:
rivafb: setting virtual Y resolution to 2184
divide error: 0000 [#1] PREEMPT SMP KASAN PTI
CPU: 0 PID: 2187 Comm: syz-executor.0 Not tainted 5.18.0-rc1+ #1
Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.12.0-59-gc9ba5276e321-prebuilt.qemu.org 04/01/2014
RIP: 0010:nv3_arb drivers/video/fbdev/riva/riva_hw.c:439 [inline]
RIP: 0010:nv3_get_param+0x3ab/0x13b0 drivers/video/fbdev/riva/riva_hw.c:546
Call Trace:
nv3CalcArbitration.constprop.0+0x255/0x460 drivers/video/fbdev/riva/riva_hw.c:603
nv3UpdateArbitrationSettings drivers/video/fbdev/riva/riva_hw.c:637 [inline]
CalcStateExt+0x447/0x1b90 drivers/video/fbdev/riva/riva_hw.c:1246
riva_load_video_mode+0x8a9/0xea0 drivers/video/fbdev/riva/fbdev.c:779
rivafb_set_par+0xc0/0x5f0 drivers/video/fbdev/riva/fbdev.c:1196
fb_set_var+0x604/0xeb0 drivers/video/fbdev/core/fbmem.c:1033
do_fb_ioctl+0x234/0x670 drivers/video/fbdev/core/fbmem.c:1109
fb_ioctl+0xdd/0x130 drivers/video/fbdev/core/fbmem.c:1188
__x64_sys_ioctl+0x122/0x190 fs/ioctl.c:856
📍 영향받는 시스템
Linux kernel (rivafb driver 포함 버전, 로그 기준 5.18.0-rc1+)
⚔️ 공격 벡터
조작된/에뮬레이션된 PCI 장치를 통해 mclk_khz 값을 0으로 설정한 후, 사용자 공간에서 FBIOPUT_VSCREENINFO ioctl 호출
🛡️ 대응 방법
nv3_arb() 함수 내에서 mclk_khz 값이 0인지 확인하고, 0일 경우 나누기 연산을 수행하기 전에 실행을 중단하도록 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 취약점이 수정된 패치 버전 이후인지 확인합니다.