🇰🇷 한글 설명
Linux 커널의 Bluetooth btnxpuert 드라이버에서 nxp_recv_fw_req_v3() 함수가 펌웨어 읽기 시 경계 검사를 제대로 수행하지 않는 취약점이 발견되었습니다. 공격자가 조작된 오프셋이나 길이를 요청할 경우, 펌웨어 데이터 범위를 벗어난 커널 메모리 영역을 읽어 UART를 통해 외부로 유출할 수 있습니다.
💡 쉬운 설명
블루투스 장치가 컴퓨터의 허락 없이 메모리의 엉뚱한 부분을 읽어갈 수 있는 보안 구멍이 발견되었습니다. 이를 통해 해커가 컴퓨터 내부의 중요한 정보를 몰래 빼낼 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
Bluetooth: btnxpuart: Fix out-of-bounds firmware read in nxp_recv_fw_req_v3()
During the v3 firmware download the controller sends a v3_data_req with a
32 bit offset and a 16 bit len. nxp_recv_fw_req_v3() checks only the lower
bound of the offset and then sends firmware from that offset.
nxpdev->fw_dnld_v3_offset = offset - nxpdev->fw_v3_offset_correction;
serdev_device_write_buf(nxpdev->serdev, nxpdev->fw->data +
nxpdev->fw_dnld_v3_offset, len);
Nothing checks that fw_dnld_v3_offset + len stays within nxpdev->fw->size,
so a controller that asks for an offset or length past the firmware image
makes the driver read past the end of nxpdev->fw->data and send that
memory back over UART.
nxp_recv_fw_req_v1() already bounds the same write. Add the equivalent
check to the v3 path, reject the request when it falls outside the firmware
image, and zero len on the error path so the fw_v3_prev_sent bookkeeping at
free_skb stays consistent.
📍 영향받는 시스템
Linux kernel (Bluetooth btnxpuart driver)
⚔️ 공격 벡터
조작된 v3_data_req를 전송하는 악의적인 블루투스 컨트롤러를 통한 메모리 정보 유출
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 펌웨어 읽기 경계 검사 로직을 적용해야 합니다.
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인합니다.