🇰🇷 한글 설명
Linux kernel의 netfilter nf_tables 모듈에서 NETDEV_REGISTER 알림 처리 시 device가 중복 등록되는 취약점입니다. nft_netdev_hook_alloc()에 의해 이미 추가된 device가 다시 등록될 수 있어 커널 불안정성을 야기합니다.
💡 쉬운 설명
Linux 시스템의 네트워크 필터링 기능이 같은 네트워크 장치를 여러 번 등록할 수 있는 버그입니다. 이 문제로 시스템이 불안정해지거나 공격자가 네트워크 정책을 우회할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_tables: Fix for duplicate device in netdev hooks
When handling NETDEV_REGISTER notification, duplicate device
registration must be avoided since the device may have been added by
nft_netdev_hook_alloc() already when creating the hook.
📍 영향받는 시스템
netfilter nf_tables를 활성화한 모든 Linux kernel 버전 (패치 적용 전)
⚔️ 공격 벡터
네트워크 인터페이스 핫플러그(추가/제거) 작업을 반복하여 중복 device 등록 상태 유발 및 시스템 크래시/DoS 초래
🛡️ 대응 방법
Linux kernel을 최신 버전으로 업데이트하여 netfilter nf_tables의 duplicate device 검증 로직 적용
🔧 검증 코드
커널 버전과 nf_tables 모듈 로드 상태를 확인하고, 패치된 버전 이상인지 확인하면 됩니다.
cat /proc/version | grep -oP 'Linux version \K[^ ]+' && lsmod | grep nf_tables