🇰🇷 한글 설명
리눅스 커널의 netfilter nf_tables 구성 요소에서 NF_QUEUE 판결을 즉시 방출하는 취약점이 발견되었습니다. nft_queue는 사용자 공간 도구에서 사용되어야 하지만, arp 패밀리 등에서 부적절한 즉시 판결이 도달할 수 있는 문제가 있어 이를 거부하도록 수정되었습니다.
💡 쉬운 설명
네트워크 규칙을 처리하는 과정에서 잘못된 명령이 실행될 수 있는 허점이 발견되었습니다. 이를 통해 시스템의 네트워크 제어 흐름이 의도치 않게 동작할 수 있는 문제를 방지하기 위한 패치입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_tables: reject immediate NF_QUEUE verdict
nft_queue is always used from userspace nftables to deliver the NF_QUEUE
verdict. Immediately emitting an NF_QUEUE verdict is never used by the
userspace nft tools, so reject immediate NF_QUEUE verdicts.
The arp family does not provide queue support, but such an immediate
verdict is still reachable. Globally reject NF_QUEUE immediate verdicts
to address this issue.
📍 영향받는 시스템
NF_QUEUE 즉시 판결이 허용되는 버전의 Linux Kernel (netfilter/nf_tables 포함)
⚔️ 공격 벡터
arp 패밀리 등을 통해 비정상적인 NF_QUEUE 즉시 판결을 전달하여 네트워크 처리 로직을 교란
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 보안 패치 버전 이후인지 확인