🇰🇷 한글 설명
Linux 커널의 AIX 파티션 처리 과정에서 물리 볼륨 디스크립터의 pp_count 값을 검증하지 않아 발생하는 취약점입니다. 공격자가 조작된 AIX 이미지를 제공할 경우, 고정된 배열 크기를 초과하여 메모리를 읽는 Out-of-bounds Read가 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터가 저장 장치의 정보를 읽을 때, 실제 데이터 크기보다 더 많은 범위를 읽으려고 시도하여 메모리 오류를 일으킬 수 있는 문제입니다. 악의적으로 만들어진 USB나 디스크 이미지를 연결하는 것만으로도 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
partitions: aix: bound the pp_count scan to the ppe array
aix_partition() reads the physical volume descriptor into a fixed-size
struct pvd and then scans its physical-partition-extent array:
int numpps = be16_to_cpu(pvd->pp_count);
...
for (i = 0; i < numpps; i += 1) {
struct ppe *p = pvd->ppe + i;
...
lp_ix = be16_to_cpu(p->lp_ix);
pvd points at a single kmalloc()'d struct pvd whose ppe[] member holds a
fixed ARRAY_SIZE(pvd->ppe) (1016) entries, but the loop runs up to the
on-disk pp_count. pp_count is an unvalidated __be16 read straight from
the descriptor, so a crafted AIX image with pp_count larger than 1016
drives the loop to read pvd->ppe[i] past the end of the allocation (up
to 65535 entries, ~2 MB out of bounds).
The partition scan runs without mounting anything, when a block device
with a crafted AIX/IBM partition table appears (an attacker-supplied
image attached with losetup -P, or a device auto-scanned by udev), via
msdos_partition() -> aix_partition().
Clamp the scan to the number of entries the ppe[] array can hold.
📍 영향받는 시스템
AIX 파티션 테이블을 지원하는 Linux 커널 (pp_count 검증 패치가 적용되지 않은 버전)
⚔️ 공격 벡터
조작된 AIX 파티션 테이블이 포함된 블록 장치(USB, 이미지 파일 등)를 시스템에 연결하거나 마운트함
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 pp_count 스캔 범위를 배열 크기로 제한함
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이상인지 확인합니다.