🇰🇷 한글 설명
Linux 커널의 binder 구성 요소 내 binder_free_transaction() 함수에서 Use-After-Free(UAF) 취약점이 발견되었습니다. t->lock이 해제된 후 대상 프로세스가 병렬로 종료될 수 있어, 이후 내부 락을 획득하려 할 때 메모리 오류가 발생합니다.
💡 쉬운 설명
프로그램이 이미 사라진 데이터의 정보를 사용하려고 시도하여 발생하는 오류입니다. 이로 인해 시스템이 충돌하거나 보안 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
binder: fix UAF in binder_free_transaction()
In binder_free_transaction(), the t->to_proc is read under the t->lock.
However, once the t->lock is dropped, the to_proc can die in parallel.
This leads to a use-after-free error when we attempt to acquire its
inner lock right afterwards:
==================================================================
BUG: KASAN: slab-use-after-free in _raw_spin_lock+0xe4/0x1a0
Write of size 4 at addr ffff00001125da70 by task B/672
CPU: 20 UID: 0 PID: 672 Comm: B Not tainted 7.1.0-rc6-00284-g8e65320d91cd #4 PREEMPT
Hardware name: linux,dummy-virt (DT)
Call trace:
_raw_spin_lock+0xe4/0x1a0
binder_free_transaction+0x8c/0x320
binder_send_failed_reply+0x21c/0x2f8
binder_thread_release+0x488/0x7e0
binder_ioctl+0x12c0/0x29a0
[...]
Allocated by task 675:
__kmalloc_cache_noprof+0x174/0x444
binder_open+0x118/0xb70
do_dentry_open+0x374/0x1040
vfs_open+0x58/0x3bc
[...]
Freed by task 212:
__kasan_slab_free+0x58/0x80
kfree+0x1a0/0x4a4
binder_proc_dec_tmpref+0x32c/0x5e0
binder_deferred_func+0xc48/0x104c
process_one_work+0x53c/0xbc0
[...]
==================================================================
To prevent this, pin the target thread (t->to_thread) to guarantee the
target process remains alive. Undelivered transactions without a target
thread are already safe, as the target process can only be the current
context in those paths.
📍 영향받는 시스템
Linux kernel (binder driver 사용 환경)
⚔️ 공격 벡터
특정 프로세스가 종료되는 시점과 binder 트랜잭션이 해제되는 시점을 교묘하게 맞추는 Race Condition 공격
🛡️ 대응 방법
대상 스레드를 고정(pin)하여 프로세스가 작업 완료 전까지 종료되지 않도록 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 취약점이 수정된 패치 버전인지 확인합니다.