🇰🇷 한글 설명
Linux 커널의 lpc32xx ADC 드라이버에서 인터럽트 핸들러를 등록하기 전에 완료 객체(completion)를 초기화하지 않아 발생하는 취약점입니다. 인터럽트가 초기화 전에 발생할 경우 초기화되지 않은 메모리에 접근하여 커널 패닉(Kernel Panic)을 유발할 수 있습니다.
💡 쉬운 설명
장치가 작동을 시작하기도 전에 갑자기 신호를 보내면, 컴퓨터가 준비되지 않은 상태에서 잘못된 명령을 수행하다가 멈춰버리는 문제입니다. 이를 방지하기 위해 신호를 받을 준비를 먼저 마친 뒤에 신호를 받도록 순서를 바꾸어야 합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
iio: adc: lpc32xx: Initialize completion before requesting IRQ
In the report from Jaeyoung Chung:
"lpc32xx_adc_probe() in drivers/iio/adc/lpc32xx_adc.c registers its
interrupt handler with devm_request_irq() before it initializes
st->completion with init_completion(). If an interrupt arrives after
devm_request_irq() and before init_completion(), the handler calls
complete() on an uninitialized completion, causing a kernel panic.
The probe path, in lpc32xx_adc_probe():
iodev = devm_iio_device_alloc(&pdev->dev, sizeof(*st)); /* st kzalloc-zeroed */
...
retval = devm_request_irq(&pdev->dev, irq, lpc32xx_adc_isr, 0,
LPC32XXAD_NAME, st); /* register handler */
...
init_completion(&st->completion); /* initialize completion */
lpc32xx_adc_isr() calls complete():
complete(&st->completion);
If the device raises an interrupt before init_completion() runs,
complete() acquires the uninitialized wait.lock and walks the zeroed
task_list in swake_up_locked(). The zeroed task_list makes list_empty()
return false, so swake_up_locked() dereferences a NULL list entry,
triggering a KASAN wild-memory-access."
Fix the chance of a spurious IRQ causing an uninitialized pointer
dereference by moving init_completion() above devm_request_irq().
📍 영향받는 시스템
Linux kernel (lpc32xx ADC driver 포함 버전)
⚔️ 공격 벡터
하드웨어 인터럽트를 의도적으로 조기에 발생시켜 커널 패닉 유도 (Local/Hardware level)
🛡️ 대응 방법
커널 패치 적용: devm_request_irq() 호출 전 init_completion()이 실행되도록 코드 순서 변경
🔧 검증 코드
출력된 코드에서 init_completion() 함수가 devm_request_irq()보다 먼저 호출되는지 확인
grep -r "lpc32xx_adc_probe" drivers/iio/adc/lpc32xx_adc.c