🇰🇷 한글 설명
Linux 커널의 netfilter ctnetlink 구성 요소에서 유효하지 않은 값을 검증하지 못하는 취약점이 발견되었습니다. 이 취약점은 수동 범위 검사를 netlink 정책 주석으로 대체하여 잘못된 값이 입력될 경우 커널 코어 단계에서 조기에 차단하도록 수정되었습니다.
💡 쉬운 설명
네트워크 설정을 관리하는 프로그램이 잘못된 숫자를 입력받았을 때 이를 제대로 걸러내지 못해 시스템이 오작동할 수 있는 문제입니다. 이번 패치를 통해 잘못된 값이 들어오면 시스템이 즉시 거부하도록 보안이 강화되었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: ctnetlink: use netlink policy range checks
Replace manual range and mask validations with netlink policy
annotations in ctnetlink code paths, so that the netlink core rejects
invalid values early and can generate extack errors.
- CTA_PROTOINFO_TCP_STATE: reject values > TCP_CONNTRACK_SYN_SENT2 at
policy level, removing the manual >= TCP_CONNTRACK_MAX check.
- CTA_PROTOINFO_TCP_WSCALE_ORIGINAL/REPLY: reject values > TCP_MAX_WSCALE
(14). The normal TCP option parsing path already clamps to this value,
but the ctnetlink path accepted 0-255, causing undefined behavior when
used as a u32 shift count.
- CTA_FILTER_ORIG_FLAGS/REPLY_FLAGS: use NLA_POLICY_MASK with
CTA_FILTER_F_ALL, removing the manual mask checks.
- CTA_EXPECT_FLAGS: use NLA_POLICY_MASK with NF_CT_EXPECT_MASK, adding
a new mask define grouping all valid expect flags.
Extracted from a broader nf-next patch by Florian Westphal, scoped to
ctnetlink for the fixes tree.
📍 영향받는 시스템
Linux kernel (netfilter/ctnetlink 관련 모듈 사용 시스템)
⚔️ 공격 벡터
조작된 netlink 메시지를 전송하여 커널 내에서 정의되지 않은 동작(undefined behavior) 유도
🛡️ 대응 방법
최신 보안 패치가 적용된 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인