🇰🇷 한글 설명
Linux 커널의 slip 드라이버 내 slhc_uncompress() 함수에서 압축된 패킷 길이를 검증하지 않아 발생하는 취약점입니다. decode() 함수가 경계 검사를 수행하지 않고 잘못된 값을 반환하여 패킷의 끝을 넘어선 영역을 읽을 수 있습니다. 이로 인해 잘못된 데이터가 캐시에 저장되어 이후 재구성된 패킷에 반영될 수 있습니다.
💡 쉬운 설명
데이터를 압축하고 푸는 과정에서 데이터의 끝을 제대로 확인하지 않아, 허용되지 않은 메모리 영역을 읽어오는 문제입니다. 이로 인해 잘못된 정보가 다음 데이터에 섞여 들어갈 수 있는 보안 결함입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
slip: bound decode() reads against the compressed packet length
slhc_uncompress() parses a VJ-compressed TCP header by advancing a
pointer through the packet via decode() and pull16(). Neither helper
bounds-checks against isize, and decode() masks its return with
& 0xffff so it can never return the -1 that callers test for -- those
error paths are dead code.
A short compressed frame whose change byte requests optional fields
lets decode() read past the end of the packet. The over-read bytes
are folded into the cached cstate and reflected into subsequent
reconstructed packets.
Make decode() and pull16() take the packet end pointer and return -1
when exhausted. Add a bounds check before the TCP-checksum read.
The existing == -1 tests now do what they were always meant to.
📍 영향받는 시스템
Linux Kernel (slip driver 사용 환경)
⚔️ 공격 벡터
조작된 짧은 VJ-압축 TCP 헤더를 포함한 프레임을 전송하여 메모리 오버리드 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인