🇰🇷 한글 설명
Linux 커널의 net:tls 구성 요소에서 sk_msg 링이 래핑될 때 sg_chain 엔트리 개수를 계산하는 과정에서 오프바이원(off-by-one) 오류가 발생합니다. 이로 인해 scatterlist 배열의 범위를 벗어난 잘못된 위치에 체인 포인터가 배치될 수 있습니다.
💡 쉬운 설명
데이터를 처리하는 메모리 목록을 관리할 때 숫자를 하나 잘못 계산하여, 정해진 공간을 넘어서는 영역을 건드리는 보안 결함입니다. 이로 인해 시스템이 불안정해지거나 해커가 메모리에 잘못된 접근을 할 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: tls: fix off-by-one in sg_chain entry count for wrapped sk_msg ring
When an sk_msg scatterlist ring wraps (sg.end < sg.start),
tls_push_record() chains the tail portion of the ring to the head
using sg_chain(). An extra entry in the sg array is reserved for
this:
struct sk_msg_sg {
[...]
/* The extra two elements:
* 1) used for chaining the front and sections when the list becomes
* partitioned (e.g. end < start). The crypto APIs require the
* chaining;
* 2) to chain tailer SG entries after the message.
*/
struct scatterlist data[MAX_MSG_FRAGS + 2];
The current code uses MAX_SKB_FRAGS + 1 as the ring size:
sg_chain(&msg_pl->sg.data[msg_pl->sg.start],
MAX_SKB_FRAGS - msg_pl->sg.start + 1,
msg_pl->sg.data);
This places the chain pointer at
sg_chain(data[start], (MAX_SKB_FRAGS - msg_start + 1) .. =
&data[start] + (MAX_SKB_FRAGS - msg_start + 1) - 1 =
data[start + (MAX_SKB_FRAGS - start + 1) - 1] =
data[MAX_SKB_FRAGS]
instead of the true last entry. This is likely due to a "race" of
the commit under Fixes landing close to
commit 031097d9e079 ("bpf: sk_msg, zap ingress queue on psock down")
Convert to ARRAY_SIZE and drop the data[start] / - start (as suggested
by Sabrina).
📍 영향받는 시스템
Linux Kernel (net:tls 관련 모듈 사용 시스템)
⚔️ 공격 벡터
조작된 sk_msg 링 데이터를 전송하여 커널 메모리의 경계를 초과하는 쓰기 또는 읽기 유도
🛡️ 대응 방법
해당 취약점이 수정된 최신 버전의 Linux 커널로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 취약점이 해결된 패치 버전 이후인지 확인하십시오.