🇰🇷 한글 설명
Linux 커널의 netfilter flowtable에서 IPIP 터널 하드웨어 오프로드를 지원하지 않는 문제가 발견되었습니다. 현재 드라이버가 IPIP 터널을 지원하지 않음에도 하드웨어 오프로드 설정을 시도하여 불필요한 작업이 발생할 수 있었으나, 이번 패치를 통해 지원되지 않는 경우 조기에 중단하도록 개선되었습니다.
💡 쉬운 설명
네트워크 데이터를 빠르게 처리하는 하드웨어 기능이 특정 통로(IPIP 터널)를 지원하지 않는데도 계속 시도하려던 문제를 해결했습니다. 이로 인해 시스템이 불필요한 작업을 반복하지 않도록 효율성을 높였습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: flowtable: IPIP tunnel hardware offload is not yet support
No driver supports for IPIP tunnels yet, give up early on setting up the
hardware offload for this scenario.
This patch adds a stub that can be enhanced to add more configuration
that are currently not supported. As of now, the offload work is
enqueued to the worker, then ignored if the hardware offload
configuration is not supported.
Check the NF_FLOW_HW flag to know if this entry was already tried once
to be offloaded so this is not retried on refresh when unsupported. Move
NF_FLOW_HW flag check to nf_flow_offload_add(). If this NF_FLOW_HW flag
is unset the _del and _stats variants are never called.
This can be updated later on to skip hardware offload work to be queued
in case hardware offload does not support it.
📍 영향받는 시스템
IPIP 터널 하드웨어 오프로드를 사용하는 Linux 커널 시스템
⚔️ 공격 벡터
직접적인 공격 벡터는 낮으나, 지원되지 않는 기능을 반복 호출하여 시스템 자원을 소모하게 할 수 있음
🛡️ 대응 방법
해당 취약점이 해결된 최신 Linux 커널 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 패치가 적용된 최신 버전인지 확인