🇰🇷 한글 설명
Linux 커널의 Landlock 보안 모듈에서 fork() 호출 시 LOG_SUBDOMAINS_OFF 설정이 제대로 상속되지 않는 취약점이 발견되었습니다. 이로 인해 부모 프로세스가 설정한 하위 도메인 로그 억제 설정이 자식 프로세스로 전달되지 않아 의도치 않은 감사 기록이 생성될 수 있습니다.
💡 쉬운 설명
프로그램이 자식 프로그램을 만들 때 보안 설정 중 일부가 누락되는 문제입니다. 이로 인해 보안 로그가 너무 많이 남거나 설정한 대로 작동하지 않을 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
landlock: Fix LOG_SUBDOMAINS_OFF inheritance across fork()
hook_cred_transfer() only copies the Landlock security blob when the
source credential has a domain. This is inconsistent with
landlock_restrict_self() which can set LOG_SUBDOMAINS_OFF on a
credential without creating a domain (via the ruleset_fd=-1 path): the
field is committed but not preserved across fork() because the child's
prepare_creds() calls hook_cred_transfer() which skips the copy when
domain is NULL.
This breaks the documented use case where a process mutes subdomain logs
before forking sandboxed children: the children lose the muting and
their domains produce unexpected audit records.
Fix this by unconditionally copying the Landlock credential blob.
📍 영향받는 시스템
Landlock 보안 모듈을 사용하는 Linux 커널 버전
⚔️ 공격 벡터
로컬 프로세스에서 fork()를 통한 자식 프로세스 생성 시 보안 설정 상속 누락 유도
🛡️ 대응 방법
Landlock 관련 보안 블롭(blob)을 조건 없이 복사하도록 커널을 최신 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인