🇰🇷 한글 설명
Linux 커널의 stmmac 네트워크 드라이버에서 정수 언더플로우 취약점이 발견되었습니다. 패킷의 선형 데이터 크기가 버퍼 크기보다 작을 때 잘못된 계산으로 인해 매우 큰 값이 생성되며, 이로 인해 커널 메모리가 DMA 엔진을 통해 노출되거나 손상될 수 있습니다.
💡 쉬운 설명
네트워크 데이터를 처리하는 과정에서 계산 오류가 발생하여, 컴퓨터의 중요한 비밀 정보가 담긴 메모리 영역이 외부로 유출되거나 시스템이 망가질 수 있는 문제입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: stmmac: fix integer underflow in chain mode
The jumbo_frm() chain-mode implementation unconditionally computes
len = nopaged_len - bmax;
where nopaged_len = skb_headlen(skb) (linear bytes only) and bmax is
BUF_SIZE_8KiB or BUF_SIZE_2KiB. However, the caller stmmac_xmit()
decides to invoke jumbo_frm() based on skb->len (total length including
page fragments):
is_jumbo = stmmac_is_jumbo_frm(priv, skb->len, enh_desc);
When a packet has a small linear portion (nopaged_len <= bmax) but a
large total length due to page fragments (skb->len > bmax), the
subtraction wraps as an unsigned integer, producing a huge len value
(~0xFFFFxxxx). This causes the while (len != 0) loop to execute
hundreds of thousands of iterations, passing skb->data + bmax * i
pointers far beyond the skb buffer to dma_map_single(). On IOMMU-less
SoCs (the typical deployment for stmmac), this maps arbitrary kernel
memory to the DMA engine, constituting a kernel memory disclosure and
potential memory corruption from hardware.
Fix this by introducing a buf_len local variable clamped to
min(nopaged_len, bmax). Computing len = nopaged_len - buf_len is then
always safe: it is zero when the linear portion fits within a single
descriptor, causing the while (len != 0) loop to be skipped naturally,
and the fragment loop in stmmac_xmit() handles page fragments afterward.
📍 영향받는 시스템
Linux kernel (stmmac driver component)
⚔️ 공격 벡터
특수하게 조작된 크기의 네트워크 패킷을 전송하여 정수 언더플로우 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인