🇰🇷 한글 설명
Linux 커널의 SCSI target configfs 구성 요소에서 snprintf() 함수의 반환값 검증 미흡으로 인한 스택 버퍼 오버리드 취약점이 발견되었습니다. iSCSI IQN 이름이 길 경우 snprintf()가 버퍼 크기를 초과하는 길이를 반환할 수 있으며, 이로 인해 memcpy() 과정에서 스택의 인접 데이터를 읽어 sysfs를 통해 노출하거나 시스템 패닉을 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터 메모리의 특정 공간에 데이터를 담을 때, 담을 수 있는 크기보다 더 큰 데이터가 들어오면 옆에 있는 다른 정보를 실수로 읽어버리는 문제입니다. 이로 인해 중요한 정보가 유출되거나 시스템이 갑자기 멈출 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
scsi: target: configfs: Bound snprintf() return in tg_pt_gp_members_show()
target_tg_pt_gp_members_show() formats LUN paths with snprintf() into a
256-byte stack buffer, then will memcpy() cur_len bytes from that
buffer. snprintf() returns the length the output would have had, which
can exceed the buffer size when the fabric WWN is long because iSCSI IQN
names can be up to 223 bytes. The check at the memcpy() site only
guards the destination page write, not the source read, so memcpy() will
read past the stack buffer and copy adjacent stack contents to the sysfs
reader, which when CONFIG_FORTIFY_SOURCE is enabled, fortify_panic()
will be triggered.
Commit 27e06650a5ea ("scsi: target: target_core_configfs: Add length
check to avoid buffer overflow") added the same bound to the
target_lu_gp_members_show() but the tg_pt_gp variant was missed so
resolve that here.
📍 영향받는 시스템
Linux kernel (scsi: target: configfs 관련 모듈 사용 시스템)
⚔️ 공격 벡터
길이가 긴 iSCSI IQN 이름을 사용하여 sysfs의 tg_pt_gp_members_show() 경로를 읽음으로써 발생
🛡️ 대응 방법
커널 패치(Commit 27e06650a5ea 관련 수정 사항 포함)를 적용하여 최신 커널 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인