🇰🇷 한글 설명
리눅스 커널의 netfilter nft_set_rbtree 구성 요소에서 익명 세트의 부분 중첩을 확인하는 로직에 결함이 발견되었습니다. 특정 조건에서 시작 지점이 동일하지만 종료 지점이 다른 구간을 추가할 때 중첩 검사를 건너뛰는 문제가 있었으며, 이는 데이터 무결성 문제를 야기할 수 있습니다.
💡 쉬운 설명
리눅스 시스템의 네트워크 규칙을 관리하는 기능에서 규칙들이 서로 겹치는지 확인하는 과정에 오류가 있었습니다. 이로 인해 서로 충돌하는 규칙이 정상적으로 등록되어 시스템 설정에 혼란을 줄 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nft_set_rbtree: check for partial overlaps in anonymous sets
Userspace provides an optimized representation in case intervals are
adjacent, where the end element is omitted.
The existing partial overlap detection logic skips anonymous set checks
on start elements for this reason.
However, it is possible to add intervals that overlap to this anonymous
where two start elements with the same, eg. A-B, A-C where C < B.
start end
A B
start end
A C
Restore the check on overlapping start elements to report an overlap.
📍 영향받는 시스템
익명 세트(anonymous sets) 기능을 사용하는 리눅스 커널 버전
⚔️ 공격 벡터
로컬 사용자가 특수하게 조작된 네트워크 규칙(nftables)을 생성하여 중첩된 구간을 삽입하는 방식
🛡️ 대응 방법
해당 취약점이 수정된 최신 리눅스 커널 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 패치된 버전인지 보안 공지(Security Advisory)와 대조