🇰🇷 한글 설명
Linux 커널의 bpf_trampoline_link_cgroup_shim 함수에서 Use-After-Free(UAF) 취약점이 발견되었습니다. bpf_link의 참조 횟수가 0이 되어 자원이 해제되었음에도 불구하고, 특정 상황에서 해당 자원이 여전히 참조되어 메모리 오류를 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터가 이미 사용이 끝났다고 판단해 삭제한 메모리 공간을 다른 프로그램이 다시 사용하려고 시도할 때 발생하는 오류입니다. 이로 인해 시스템이 갑자기 멈추거나 보안 공격에 악용될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
bpf: Fix a UAF issue in bpf_trampoline_link_cgroup_shim
The root cause of this bug is that when 'bpf_link_put' reduces the
refcount of 'shim_link->link.link' to zero, the resource is considered
released but may still be referenced via 'tr->progs_hlist' in
'cgroup_shim_find'. The actual cleanup of 'tr->progs_hlist' in
'bpf_shim_tramp_link_release' is deferred. During this window, another
process can cause a use-after-free via 'bpf_trampoline_link_cgroup_shim'.
Based on Martin KaFai Lau's suggestions, I have created a simple patch.
To fix this:
Add an atomic non-zero check in 'bpf_trampoline_link_cgroup_shim'.
Only increment the refcount if it is not already zero.
Testing:
I verified the fix by adding a delay in
'bpf_shim_tramp_link_release' to make the bug easier to trigger:
static void bpf_shim_tramp_link_release(struct bpf_link *link)
{
/* ... */
if (!shim_link->trampoline)
return;
+ msleep(100);
WARN_ON_ONCE(bpf_trampoline_unlink_prog(&shim_link->link,
shim_link->trampoline, NULL));
bpf_trampoline_put(shim_link->trampoline);
}
Before the patch, running a PoC easily reproduced the crash(almost 100%)
with a call trace similar to KaiyanM's report.
After the patch, the bug no longer occurs even after millions of
iterations.
📍 영향받는 시스템
Linux Kernel (bpf_trampoline_link_cgroup_shim 관련 모듈 사용 시스템)
⚔️ 공격 벡터
특정 프로세스가 bpf_link의 참조 횟수를 조작하여 해제된 메모리에 접근하도록 유도하는 방식
🛡️ 대응 방법
커널 패치를 적용하여 bpf_trampoline_link_cgroup_shim에서 참조 횟수가 0이 아닐 때만 증가하도록 원자적 검사를 추가해야 합니다.
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 수정된 최신 보안 패치 버전인지 확인합니다.