🇰🇷 한글 설명
Linux 커널의 Thunderbolt 드라이버에서 dir_len 값이 4 미만일 때 발생하는 size_t 언더플로우 취약점입니다. 이로 인해 UUID 복사 과정에서 경계 외 읽기(OOB)가 발생하거나, 엔트리 루프가 비정상적으로 실행되어 커널 패닉 또는 메모리 손상을 유발할 수 있습니다.
💡 쉬운 설명
Thunderbolt 장치 정보를 처리할 때 데이터 길이를 잘못 계산하여 컴퓨터의 중요한 메모리 영역을 넘어서 읽거나 잘못된 계산을 하는 문제입니다. 이로 인해 시스템이 멈추거나 보안 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
thunderbolt: property: Reject dir_len < 4 to prevent size_t underflow
On the non-root path, __tb_property_parse_dir() takes dir_len from
entry->length (u16 widened to size_t). Two distinct OOB conditions
follow when entry->length < 4:
1. The non-root path begins with kmemdup(&block[dir_offset],
sizeof(*dir->uuid), ...) which always reads 4 dwords from
dir_offset. tb_property_entry_valid() only enforces
dir_offset + entry->length <= block_len, so a crafted entry
with dir_offset close to the end of the property block and
entry->length in 0..3 passes that gate but lets the UUID copy
run off the block (e.g. dir_offset = 497, dir_len = 3 in a
500-dword block reads block[497..501]).
2. After the kmemdup, content_len = dir_len - 4 underflows size_t
to ~SIZE_MAX, nentries becomes SIZE_MAX / 4, and the entry
walk runs OOB on each iteration until an entry fails
validation or the kernel oopses on an unmapped page.
Reject dir_len < 4 on the non-root path *before* the UUID kmemdup,
which closes both holes.
Also move INIT_LIST_HEAD(&dir->properties) up to immediately after
the dir allocation so the new error-return path (and the existing
uuid-alloc failure path) calling tb_property_free_dir() sees a
walkable list rather than the zero-initialized NULL next/prev that
list_for_each_entry_safe() would oops on.
📍 영향받는 시스템
Linux kernel (Thunderbolt driver component)
⚔️ 공격 벡터
조작된 Thunderbolt 속성(property) 데이터를 포함한 장치를 연결하여 메모리 경계 외 읽기 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 dir_len < 4 조건에 대한 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인합니다.