🇰🇷 한글 설명
Linux 커널의 OpenVPN TCP 구현에서 keepalive 만료 시 발생하는 레이스 컨디션 취약점입니다. 소켓이 닫히는 과정에서 sk_socket 멤버가 NULL로 설정될 수 있으며, 이를 적절히 검사하지 않고 참조할 경우 시스템 크래시(NULL 포인터 역참조)가 발생합니다.
💡 쉬운 설명
OpenVPN을 사용할 때 네트워크 연결이 끊어지는 순간, 시스템이 잘못된 메모리 주소를 참조하여 컴퓨터가 갑자기 멈추거나 꺼질 수 있는 문제입니다. 특정 상황에서 데이터 처리가 꼬이면서 발생하는 오류입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ovpn: tcp - don't deref NULL sk_socket member after tcp_close()
When deleting a peer in case of keepalive expiration, the peer is
removed from the OpenVPN hashtable and is temporary inserted in a
"release list" for further processing.
This happens in:
ovpn_peer_keepalive_work()
unlock_ovpn(release_list)
This processing includes detaching from the socket being used to
talk to this peer, by restoring its original proto and socket
ops/callbacks.
In case of TCP it may happen that, while the peer is sitting in
the release list, userspace decides to close the socket.
This will result in a concurrent execution of:
tcp_close(sk)
__tcp_close(sk)
sock_orphan(sk)
sk_set_socket(sk, NULL)
The last function call will set sk->sk_socket to NULL.
When the releasing routine is resumed, ovpn_tcp_socket_detach()
will attempt to dereference sk->sk_socket to restore its original
ops member. This operation will crash due to sk->sk_socket being NULL.
Fix this race condition by testing-and-accessing
sk->sk_socket atomically under sk->sk_callback_lock.
📍 영향받는 시스템
Linux kernel (OpenVPN TCP module 사용 환경)
⚔️ 공격 벡터
로컬 또는 네트워크를 통한 TCP 소켓 강제 종료를 유도하여 레이스 컨디션 유발
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 sk_callback_lock 기반의 원자적 검사 로직 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인하십시오.