🇰🇷 한글 설명
Linux 커널의 ksmbd 구성 요소에서 발생하는 Null 포인터 역참조 취약점입니다. SMB2 클라이언트가 세션을 로그오프할 때 파일 포인터의 tcon 값이 NULL로 설정되지만, global_ft.idr에는 여전히 등록되어 있어 /proc/fs/ksmbd/files를 읽을 때 커널 패닉을 유발할 수 있습니다.
💡 쉬운 설명
파일 공유 서비스(ksmbd)를 사용하는 중 사용자가 로그아웃할 때 시스템 정보 파일(/proc)을 읽으면 컴퓨터가 갑자기 멈추거나 재부팅될 수 있는 오류입니다. 이는 공격자가 시스템을 강제로 중단시키는 서비스 거부(DoS) 공격에 이용될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ksmbd: fix null pointer dereference in proc_show_files()
When a SMB2 client opens a file with a durable v2 handle and then issues
SMB2 SESSION_LOGOFF, session_fd_check() clears fp->tcon = NULL on the
reconnectable file pointer but leaves the fp registered in global_ft.idr
until the durable scavenger fires (up to fp->durable_timeout seconds
later).
During that window any read of /proc/fs/ksmbd/files (mode 0400) panics
the kernel because proc_show_files() walks global_ft.idr and
unconditionally dereferences fp->tcon->id with no NULL guard.
Reproducer requires only a successful SMB2 SESSION_SETUP and a share
configured with 'durable handles = yes'. KASAN report on mainline
70390501d194:
general protection fault, probably for non-canonical address
0xdffffc0000000000: 0000 [#1] SMP KASAN PTI
KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007]
RIP: 0010:proc_show_files+0x118/0x740
Call Trace:
proc_show_files+0x118/0x740
seq_read_iter+0x4ef/0xe10
proc_reg_read_iter+0x1b7/0x280
...
Guard the dereference. A durable-disconnected fp legitimately has no
tcon; report its tree id as 0 rather than oopsing.
📍 영향받는 시스템
ksmbd 기능이 활성화된 Linux 커널 (durable handles 설정이 'yes'인 경우)
⚔️ 공격 벡터
SMB2 세션을 맺고 파일을 연 뒤 로그오프를 수행하고, /proc/fs/ksmbd/files 경로를 읽어 커널 패닉 유도
🛡️ 대응 방법
커널 업데이트를 통해 proc_show_files() 함수 내의 NULL 포인터 검사 로직이 포함된 패치를 적용해야 합니다.
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 취약점이 해결된 최신 패치 버전인지 확인합니다.