🇰🇷 한글 설명
Linux 커널의 RDMA/rxe 구성 요소에서 rxe_srq_from_init 함수 호출 중 double free 취약점이 발견되었습니다. copy_to_user() 함수가 실패할 경우, 이미 해제된 큐 포인터가 구조체에 남아 있어 이후 rxe_srq_cleanup() 호출 시 동일한 메모리를 다시 해제하려고 시도합니다.
💡 쉬운 설명
컴퓨터 메모리를 정리하는 과정에서 이미 지운 메모리를 또 지우려고 시도하여 시스템 오류를 일으키는 문제입니다. 이로 인해 시스템이 멈추거나 보안 공격에 악용될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
RDMA/rxe: Fix double free in rxe_srq_from_init
In rxe_srq_from_init(), the queue pointer 'q' is assigned to
'srq->rq.queue' before copying the SRQ number to user space.
If copy_to_user() fails, the function calls rxe_queue_cleanup()
to free the queue, but leaves the now-invalid pointer in
'srq->rq.queue'.
The caller of rxe_srq_from_init() (rxe_create_srq) eventually
calls rxe_srq_cleanup() upon receiving the error, which triggers
a second rxe_queue_cleanup() on the same memory, leading to a
double free.
The call trace looks like this:
kmem_cache_free+0x.../0x...
rxe_queue_cleanup+0x1a/0x30 [rdma_rxe]
rxe_srq_cleanup+0x42/0x60 [rdma_rxe]
rxe_elem_release+0x31/0x70 [rdma_rxe]
rxe_create_srq+0x12b/0x1a0 [rdma_rxe]
ib_create_srq_user+0x9a/0x150 [ib_core]
Fix this by moving 'srq->rq.queue = q' after copy_to_user.
📍 영향받는 시스템
RDMA/rxe 모듈을 사용하는 Linux 커널 버전
⚔️ 공격 벡터
사용자 공간에서 SRQ 생성 요청 시 copy_to_user() 오류를 유도하여 메모리 해제 오류를 발생시킴
🛡️ 대응 방법
커널 패치를 적용하여 srq->rq.queue 할당 시점을 copy_to_user() 이후로 변경
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인합니다.