🇰🇷 한글 설명
Linux 커널의 mlx5 드라이버에서 mlx5_query_nic_vport_mac_list 함수가 펌웨어 명령 버퍼의 크기를 잘못 계산하여 발생하는 slab-out-of-bounds 취약점입니다. devlink를 통해 VF vport의 최대 MAC 리스트 크기가 PF의 설정보다 크게 구성될 경우, 펌웨어 응답이 버퍼를 초과하여 메모리 오버플로우를 유발할 수 있습니다.
💡 쉬운 설명
네트워크 장치 드라이버가 데이터를 담을 그릇(메모리)을 실제 필요한 양보다 작게 준비하여, 넘치는 데이터가 주변 메모리를 침범하는 문제입니다. 이로 인해 시스템이 멈추거나 보안 위협이 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net/mlx5: Fix slab-out-of-bounds in mlx5_query_nic_vport_mac_list
mlx5_query_nic_vport_mac_list() sizes its firmware command buffer using
the PF's log_max_current_uc/mc_list capabilities. When querying a VF
vport with a larger configured max (via devlink), the firmware response
can overflow this buffer:
BUG: KASAN: slab-out-of-bounds in mlx5_query_nic_vport_mac_list+0x453/0x4c0 [mlx5_core]
Read of size 4 at addr ff1100013ffc8a12 by task kworker/u96:2/385
CPU: 12 UID: 0 PID: 385 Comm: kworker/u96:2 Not tainted 7.0.0-rc6+ #1 PREEMPT
Hardware name: QEMU Standard PC (Q35 + ICH9, 2009)
Workqueue: mlx5_esw_wq esw_vport_change_handler [mlx5_core]
Call Trace:
<TASK>
dump_stack_lvl+0x69/0xa0
print_report+0x176/0x4e4
kasan_report+0xc8/0x100
mlx5_query_nic_vport_mac_list+0x453/0x4c0 [mlx5_core]
esw_update_vport_addr_list+0x2e3/0xda0 [mlx5_core]
esw_vport_change_handle_locked+0xa1f/0x1060 [mlx5_core]
esw_vport_change_handler+0x6a/0x90 [mlx5_core]
process_one_work+0x87f/0x15e0
worker_thread+0x62b/0x1020
kthread+0x375/0x490
ret_from_fork+0x4dc/0x810
ret_from_fork_asm+0x11/0x20
</TASK>
Fix by querying the vport's own HCA caps to size the buffer correctly.
Refactor the function to allocate and return the MAC list internally,
removing the caller's dependency on knowing the correct max.
📍 영향받는 시스템
Linux kernel (mlx5_core 드라이버를 사용하는 시스템)
⚔️ 공격 벡터
devlink를 통해 VF vport의 MAC 리스트 설정을 PF의 용량보다 크게 조작하여 펌웨어 응답 유도
🛡️ 대응 방법
vport의 HCA 역량을 직접 조회하여 버퍼 크기를 올바르게 할당하도록 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 최신 패치 버전인지 확인합니다.