🇰🇷 한글 설명
리눅스 커널 netfilter nf_tables 모듈의 거래 처리 중 모든 catchall 요소를 순회하지 않는 버그입니다. 라이브 catchall 요소와 새 배치의 pending 요소가 동시에 존재할 때, 맵이 제거되면 모든 catchall 요소가 토글되지 않아 참조 카운팅 오류가 발생합니다.
💡 쉬운 설명
리눅스 커널의 방화벽 규칙 처리 중 특정 규칙이 제대로 정리되지 않는 버그입니다. 공격자가 특수한 netfilter 규칙을 연속으로 삽입했을 때 커널 경고가 발생하고 메모리 누수가 생길 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_tables: always walk all pending catchall elements
During transaction processing we might have more than one catchall element:
1 live catchall element and 1 pending element that is coming as part of the
new batch.
If the map holding the catchall elements is also going away, its
required to toggle all catchall elements and not just the first viable
candidate.
Otherwise, we get:
WARNING: ./include/net/netfilter/nf_tables.h:1281 at nft_data_release+0xb7/0xe0 [nf_tables], CPU#2: nft/1404
RIP: 0010:nft_data_release+0xb7/0xe0 [nf_tables]
[..]
__nft_set_elem_destroy+0x106/0x380 [nf_tables]
nf_tables_abort_release+0x348/0x8d0 [nf_tables]
nf_tables_abort+0xcf2/0x3ac0 [nf_tables]
nfnetlink_rcv_batch+0x9c9/0x20e0 [..]
📍 영향받는 시스템
리눅스 커널 nf_tables 모듈이 활성화된 시스템 (일반적으로 커널 4.0 이상, 특히 4.14-6.x 범위)
⚔️ 공격 벡터
로컬: netfilter 규칙 거래 처리를 통한 특수 crafted 패킷 또는 iptables/nftables 명령어 실행
🛡️ 대응 방법
리눅스 커널을 최신 버전으로 업데이트 (CVE-2026-23278 패치가 포함된 버전)
🔧 검증 코드
커널 버전과 nf_tables 모듈 활성화 여부를 확인하고, 공식 커널 보안 공지에서 수정 버전 확인 후 현재 버전과 비교
uname -r && grep -i nf_tables /boot/config-$(uname -r) 2>/dev/null | grep -E '^CONFIG_NF_TABLES'