🇰🇷 한글 설명
Linux 커널의 dcache 구성 요소에서 dhash_entries를 1로 설정할 경우 dentry_hashtable에 대한 OOB(Out-of-Bounds) Read 취약점이 발생합니다. 해시 버킷의 최소 개수가 제한되지 않아 비트 시프트 연산 시 정의되지 않은 동작이 발생하며, 이로 인해 할당되지 않은 메모리 영역을 참조하여 커널 패닉을 유발할 수 있습니다.
💡 쉬운 설명
리눅스 시스템의 파일 경로를 관리하는 메모리 공간에서 계산 오류가 발생하여 시스템이 갑자기 멈추거나 오류가 날 수 있는 문제입니다. 특정 설정값(dhash_entries=1)을 사용할 때 컴퓨터가 잘못된 메모리 주소를 읽으려고 시도하기 때문에 발생합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
dcache: Limit the minimal number of bucket to two
There is an OOB read problem on dentry_hashtable when user sets
'dhash_entries=1':
BUG: unable to handle page fault for address: ffff888b30b774b0
#PF: supervisor read access in kernel mode
#PF: error_code(0x0000) - not-present page
Oops: Oops: 0000 [#1] SMP PTI
RIP: 0010:__d_lookup+0x56/0x120
Call Trace:
d_lookup.cold+0x16/0x5d
lookup_dcache+0x27/0xf0
lookup_one_qstr_excl+0x2a/0x180
start_dirop+0x55/0xa0
simple_start_creating+0x8d/0xa0
debugfs_start_creating+0x8c/0x180
debugfs_create_dir+0x1d/0x1c0
pinctrl_init+0x6d/0x140
do_one_initcall+0x6d/0x3d0
kernel_init_freeable+0x39f/0x460
kernel_init+0x2a/0x260
There will be only one bucket in dentry_hashtable when dhash_entries is
set as one, and d_hash_shift is calculated as 32 by dcache_init(). Then,
following process will access more than one buckets(which memory region
is not allocated) in dentry_hashtable:
d_lookup
b = d_hash(hash)
dentry_hashtable + ((u32)hashlen >> d_hash_shift)
// The C standard defines the behavior of right shift amounts
// exceeding the bit width of the operand as undefined. The
// result of '(u32)hashlen >> d_hash_shift' becomes 'hashlen',
// so 'b' will point to an unallocated memory region.
hlist_bl_for_each_entry_rcu(b)
hlist_bl_first_rcu(head)
h->first // read OOB!
Fix it by limiting the minimal number of dentry_hashtable bucket to two,
so that 'd_hash_shift' won't exceeds the bit width of type u32.
📍 영향받는 시스템
dhash_entries 파라미터를 1로 설정할 수 있는 Linux Kernel 버전
⚔️ 공격 벡터
사용자 또는 공격자가 커널 파라미터 'dhash_entries'를 1로 설정하여 시스템 메모리 오류 유도
🛡️ 대응 방법
dentry_hashtable의 최소 버킷 개수를 2개로 제한하도록 커널 패치를 적용하여 d_hash_shift 값이 u32 비트 폭을 초과하지 않도록 수정
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 수정된 최신 보안 패치 버전인지 확인합니다.