🇰🇷 한글 설명
Linux kernel의 rxrpc 모듈에서 RESPONSE 메시지의 인증자 길이 검증 로직이 반대로 구현되어 oversized authenticator를 받아들입니다. 이로 인해 rxgk_decrypt_skb() 함수가 잘못된 길이로 호출되어 커널 패닉(BUG_ON)을 발생시킬 수 있습니다.
💡 쉬운 설명
Linux 커널의 보안 통신 검사에 버그가 있어 너무 큰 인증정보를 받아들입니다. 이를 악용하면 시스템이 강제로 종료될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
rxrpc: fix oversized RESPONSE authenticator length check
rxgk_verify_response() decodes auth_len from the packet and is supposed
to verify that it fits in the remaining bytes. The existing check is
inverted, so oversized RESPONSE authenticators are accepted and passed
to rxgk_decrypt_skb(), which can later reach skb_to_sgvec() with an
impossible length and hit BUG_ON(len).
Decoded from the original latest-net reproduction logs with
scripts/decode_stacktrace.sh:
RIP: __skb_to_sgvec()
[net/core/skbuff.c:5285 (discriminator 1)]
Call Trace:
skb_to_sgvec() [net/core/skbuff.c:5305]
rxgk_decrypt_skb() [net/rxrpc/rxgk_common.h:81]
rxgk_verify_response() [net/rxrpc/rxgk.c:1268]
rxrpc_process_connection()
[net/rxrpc/conn_event.c:266 net/rxrpc/conn_event.c:364
net/rxrpc/conn_event.c:386]
process_one_work() [kernel/workqueue.c:3281]
worker_thread()
[kernel/workqueue.c:3353 kernel/workqueue.c:3440]
kthread() [kernel/kthread.c:436]
ret_from_fork() [arch/x86/kernel/process.c:164]
Reject authenticator lengths that exceed the remaining packet payload.
📍 영향받는 시스템
Linux kernel with rxrpc module (AF_RXRPC enabled)
⚔️ 공격 벡터
Oversized RESPONSE authenticator를 포함한 악의적 패킷 전송으로 대상 rxrpc 시스템의 커널 패닉 유도
🛡️ 대응 방법
Linux kernel을 최신 패치가 적용된 버전으로 업데이트하여 인증자 길이 검증 로직 수정
🔧 검증 코드
CONFIG_AF_RXRPC=y이면 rxrpc가 활성화된 취약한 시스템이므로 커널 패치 필요, CONFIG_AF_RXRPC=n 또는 결과 없으면 영향 없음
cat /boot/config-$(uname -r) 2>/dev/null | grep CONFIG_AF_RXRPC
🇰🇷 KISA(한국인터넷진흥원) 보안 권고
이 CVE에 대한 한국 공식 권고 (1건)
Linux kernel 보안 업데이트 권고
P4
📅 2026-05-19 · sec_notice
Linux kernel의 길이 매개변수 처리 불일치 취약점(CVE-2026-31635)에 대한 보안 업데이트 권고입니다. 영향을 받는 Linux kernel 버전을 사용하는 사용자는 최신 보안 패치가 적용된 버전으로 업데이트해야 합니다.