🇰🇷 한글 설명
Linux 커널의 IPv4 스택에서 LSRR 및 SSRR IP 옵션 설정이 CAP_NET_RAW 권한을 가진 사용자에게만 제한되도록 수정되었습니다. 이를 통해 권한이 없는 애플리케이션이 패킷을 공격자가 제어하는 노드로 유도하여 TCP ISN 등 민감한 정보를 탈취하는 것을 방지합니다.
💡 쉬운 설명
해커가 네트워크 패킷의 경로를 마음대로 조작하여 중요한 정보를 훔쳐보는 것을 막기 위한 보안 업데이트입니다. 이제 일반 프로그램은 패킷의 경로를 강제로 바꾸는 특수 옵션을 사용할 수 없습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ipv4: restrict IPOPT_SSRR and IPOPT_LSRR options
This patch restricts setting Loose Source and Record Route (LSRR)
and Strict Source and Record Route (SSRR) IP options to users
with CAP_NET_RAW capability.
This prevents unprivileged applications from forcing packets to route
through attacker-controlled nodes to leak TCP ISN and possibly other
protocol information.
While LSRR and SSRR are commonly filtered in many network environments,
they may still be supported and forwarded along some network paths.
RFC 7126 (Recommendations on Filtering of IPv4 Packets Containing
IPv4 Options) recommend to drop these options in 4.3 and 4.4.
📍 영향받는 시스템
CAP_NET_RAW 권한 제한 패치가 적용되지 않은 이전 버전의 Linux 커널
⚔️ 공격 벡터
권한이 없는 로컬 애플리케이션이 LSRR/SSRR IP 옵션을 사용하여 패킷 경로를 조작함
🛡️ 대응 방법
LSRR/SSRR 옵션 제한 패치가 포함된 최신 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 보안 패치가 적용된 최신 버전인지 배포판 보안 공지를 통해 확인하십시오.