🇰🇷 한글 설명
Linux 커널의 nvme-pci 드라이버에서 nvme_free_host_mem() 함수가 메모리를 해제한 후 포인터를 초기화하지 않아 발생하는 Use-After-Free 취약점입니다. 오류 처리 경로에서 해당 함수가 두 번 호출될 경우, 이미 해제된 메모리 주소에 접근하여 커널 NULL 포인터 역참조 및 시스템 충돌을 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터의 저장 장치(NVMe)를 연결하는 과정에서 오류가 발생했을 때, 이미 사용이 끝난 메모리 주소를 다시 사용하려고 시도하여 시스템이 멈추거나 오류가 발생하는 문제입니다. 특히 썬더볼트 연결 장치에서 연결이 불안정할 때 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
nvme-pci: fix use-after-free in nvme_free_host_mem()
nvme_free_host_mem() frees dev->hmb_sgt via dma_free_noncontiguous()
but never clears the pointer afterward. This leads to a use-after-free
if nvme_free_host_mem() is called twice in the same error path.
This can happen during nvme_probe() when nvme_setup_host_mem() succeeds
in allocating the HMB (setting dev->hmb_sgt) but nvme_set_host_mem()
fails with an I/O error:
nvme_setup_host_mem()
nvme_alloc_host_mem_single() -> sets dev->hmb_sgt
nvme_set_host_mem() -> fails with -EIO
nvme_free_host_mem() -> frees hmb_sgt, but does NOT NULL it
return error
nvme_probe() error path:
nvme_free_host_mem() -> dev->hmb_sgt is stale, use-after-free
The second call dereferences the freed sgt, causing a NULL pointer
dereference in iommu_dma_free_noncontiguous() when it accesses
sgt->sgl->dma_address (the backing memory has been freed and zeroed).
This is reproducible on Thunderbolt-attached NVMe devices (e.g., OWC
Envoy Express behind a Dell WD22TB4 dock) where the device intermittently
returns I/O errors during HMB setup due to PCIe link instability.
BUG: kernel NULL pointer dereference, address: 0000000000000010
RIP: 0010:iommu_dma_free_noncontiguous+0x22/0x80
Call Trace:
<TASK>
dma_free_noncontiguous+0x3b/0x130
nvme_free_host_mem+0x30/0xf0 [nvme]
nvme_probe.cold+0xcc/0x275 [nvme]
local_pci_probe+0x43/0xa0
pci_device_probe+0xeea/0x290
really_probe+0xf9/0x3b0
__driver_probe_device+0x8b/0x170
driver_probe_device+0x24/0xd0
__driver_attach_async_helper+0x6b/0x110
async_run_entry_fn+0x37/0x170
process_one_work+0x1ac/0x3d0
worker_thread+0x1b8/0x360
kthread+0xf7/0x130
ret_from_fork+0x2d8/0x3a0
ret_from_fork_asm+0x1a/0x30
</TASK>
Fix this by setting dev->hmb_sgt to NULL after freeing it, so the
second call takes the multi-descriptor path which safely handles the
already-cleaned-up state.
📍 영향받는 시스템
Linux kernel (nvme-pci driver)
⚔️ 공격 벡터
물리적 연결 불안정(Thunderbolt/PCIe)을 유도하여 NVMe 드라이버의 오류 처리 경로를 실행시키는 방식
🛡️ 대응 방법
메모리 해제 후 dev->hmb_sgt 포인터를 NULL로 설정하도록 커널 패치 적용
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 수정된 패치 버전인지 확인합니다.