🇰🇷 한글 설명
Linux 커널의 crypto: ccp 구성 요소에서 SNP가 초기화되지 않은 상태로 ioctl(SNP_VLEK_LOAD)이 호출될 때 발생하는 취약점입니다. 기존에는 아무 작업도 수행하지 않았으나, 보안을 위해 SNP가 초기화되지 않은 경우 작업을 거부하도록 수정되었습니다.
💡 쉬운 설명
컴퓨터의 보안 기능을 사용할 준비가 안 되었는데 보안 명령을 내릴 경우 발생할 수 있는 오류를 방지하는 패치입니다. 잘못된 명령으로 인해 시스템이 멈추거나 충돌하는 것을 막아줍니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
crypto: ccp - Do not initialize SNP for ioctl(SNP_VLEK_LOAD)
Sashiko notes:
> if SEV initialization fails and KVM is actively running normal VMs, could a
> userspace process trigger this code path via /dev/sev ioctls (e.g.,
> SEV_PDH_GEN) and zero out MSR_VM_HSAVE_PA globally? Would the next VMRUN
> execution for an active VM trigger a general protection fault and crash the
> host?
The SEV firmware docs for SNP_VLEK_LOAD note:
> On SNP_SHUTDOWN, the VLEK is deleted.
That is, the initialization/shutdown wrapper here is pointless, because the
firmware immediately throws away the key anyway. Instead, refuse to do
anything if SNP has not been previously initialized.
This is an ABI break: before, this was a no-op and almost certainly a
mistake by userspace, and now it returns -ENODEV. ABI compatibility could be
maintained here by simply returning 0 in the check instead.
📍 영향받는 시스템
Linux kernel (crypto: ccp 모듈 사용 환경)
⚔️ 공격 벡터
사용자 공간 프로세스가 /dev/sev ioctl을 통해 초기화되지 않은 SNP 상태에서 특정 명령을 호출
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인