🇰🇷 한글 설명
Linux 커널의 USB 시리얼 드라이버(io_ti)에서 get_manuf_info() 함수 호출 시 힙 오버플로우가 발생할 수 있는 취약점입니다. 장치의 I2C EEPROM에서 읽어온 크기 값이 할당된 버퍼 크기를 초과할 수 있어, 악의적인 USB 장치를 연결할 경우 메모리 오염이 발생할 수 있습니다.
💡 쉬운 설명
악의적으로 조작된 USB 장치를 컴퓨터에 연결하면, 컴퓨터의 메모리 영역을 넘쳐흐르게 만들어 시스템을 망가뜨릴 수 있는 결함입니다. 장치가 보내는 데이터 크기를 제대로 검사하지 않아 발생하는 문제입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
USB: serial: io_ti: fix heap overflow in get_manuf_info()
get_manuf_info() reads le16_to_cpu(rom_desc->Size) bytes from the
device I2C EEPROM into a buffer allocated with kmalloc_obj(), which
is sizeof(struct edge_ti_manuf_descriptor) = 10 bytes.
The Size field comes from the device and is only validated (in
check_i2c_image()) to make sure the descriptor fits within
TI_MAX_I2C_SIZE (16384 bytes), not against the destination buffer size.
A malicious USB device can therefore set Size to any value up to 16377,
causing a heap overflow of up to 16367 bytes when plugged into a host
running this driver.
valid_csum() is called after read_rom() and also iterates
buffer[0..Size-1], compounding the out-of-bounds access.
Fix by rejecting descriptors with unexpected length before calling
read_rom().
[ johan: amend commit message; also check for short descriptors ]
📍 영향받는 시스템
Linux kernel (USB serial io_ti driver 사용 환경)
⚔️ 공격 벡터
조작된 크기 정보를 가진 악성 USB 장치를 호스트 시스템에 물리적으로 연결
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 descriptor 길이 검증 로직 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인