🇰🇷 한글 설명
Linux 커널의 staging 영역에 있는 vme_user 모듈에서 발생하는 취약점으로, 고정된 크기의 커널 버퍼(kern_buf)를 사용할 때 오프셋과 데이터 크기의 합이 버퍼 크기를 초과하는지 검증하지 않습니다. 이로 인해 VME 윈도우 크기가 128 KiB를 초과할 경우, read/write 작업 시 할당된 메모리 범위를 벗어나는 slab-out-of-bounds 오류가 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터의 메모리 저장 공간 크기를 확인하지 않고 데이터를 넘치게 써넣는 실수로 인해 시스템 오류가 발생할 수 있는 문제입니다. 공격자가 이를 악용하면 시스템의 중요한 정보를 읽거나 조작할 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
staging: vme_user: bound slave read/write to the kern_buf size
The SLAVE-path helpers buffer_to_user() and buffer_from_user() copy
'count' bytes into/out of the fixed-size kern_buf (size_buf ==
PCI_BUF_SIZE == 0x20000, 128 KiB) using *ppos as the offset, without
bounding *ppos + count against size_buf.
vme_user_write()/vme_user_read() only clamp count to the VME window size
(image_size = vme_get_size(resource)), which VME_SET_SLAVE sets from the
user-supplied slave.size -- validated against the VME address space (up
to VME_A32_MAX = 4 GiB), not against PCI_BUF_SIZE. When the window
exceeds 128 KiB, a write()/read() copies past the kern_buf allocation.
Clamp count against size_buf in both helpers, with an early return when
*ppos is already at/after the buffer end. *ppos is >= 0 here (the caller
rejects negative offsets), so size_buf - *ppos cannot wrap. This mirrors
the existing clamp in the MASTER-path helpers resource_to_user() /
resource_from_user(), and matches the read()/write() convention of a
short transfer at end-of-buffer.
Found by static analysis (CodeQL taint tracking + CBMC bounded model
checking) and confirmed dynamically under KASAN with the vme_fake bridge:
BUG: KASAN: slab-out-of-bounds in _copy_from_user+0x2d/0x80
Write of size 262144 at addr ffff888004100000 by task trigger/68
_copy_from_user+0x2d/0x80
vme_user_write+0x13e/0x240 [vme_user]
vfs_write+0x1b8/0x7a0
ksys_write+0xb8/0x150
📍 영향받는 시스템
Linux kernel (vme_user staging driver 포함 버전)
⚔️ 공격 벡터
사용자 정의 VME 윈도우 크기를 설정한 후, 버퍼 크기를 초과하는 대량의 데이터를 read/write 시스템 호출을 통해 전송
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 vme_user의 버퍼 경계 검증 로직을 적용해야 합니다.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인합니다.