🇰🇷 한글 설명
Linux 커널의 ksmbd 모듈에서 NTLMv2 응답을 검증하기 전에 세션 키를 먼저 업데이트하는 취약점이 발견되었습니다. 이로 인해 인증에 실패하더라도 SMB3 멀티채널 바인딩 세션이 만료되지 않아 공격자가 세션 키를 조작할 수 있는 위험이 있습니다.
💡 쉬운 설명
로그인 인증이 실패했는데도 시스템이 중요한 암호 키를 미리 바꿔버리는 보안 허점이 발견되었습니다. 공격자는 이를 이용해 잘못된 정보를 보내면서도 시스템의 보안 키를 건드릴 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ksmbd: validate NTLMv2 response before updating session key
ksmbd_auth_ntlmv2() derives the NTLMv2 session key into
sess->sess_key before it verifies the NTLMv2 response.
ksmbd_decode_ntlmssp_auth_blob() then continues into KEY_XCH even
when ksmbd_auth_ntlmv2() failed.
With SMB3 multichannel binding, the failed authentication operates on
an existing session and the session setup error path does not expire
binding sessions. A client can send a binding session setup with a
bad NT proof and KEY_XCH and still modify sess->sess_key before
STATUS_LOGON_FAILURE is returned.
Relevant path:
smb2_sess_setup()
-> conn->binding = true
-> ntlm_authenticate()
-> session_user()
-> ksmbd_decode_ntlmssp_auth_blob()
-> ksmbd_auth_ntlmv2()
-> calc_ntlmv2_hash()
-> hmac_md5_usingrawkey(..., sess->sess_key)
-> crypto_memneq() returns mismatch
-> KEY_XCH arc4_crypt(..., sess->sess_key, ...)
-> out_err without expiring the binding session
Derive the base session key into a local buffer and copy it to
sess->sess_key only after the proof matches. Return immediately on
authentication failure so KEY_XCH is only processed after successful
authentication.
📍 영향받는 시스템
Linux kernel ksmbd module (SMB3 multichannel binding 사용 시)
⚔️ 공격 벡터
잘못된 NTLMv2 증명을 포함한 바인딩 세션 설정을 전송하여 세션 키를 조작
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 ksmbd 인증 로직 수정 적용
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인