🇰🇷 한글 설명
Linux 커널의 x86 아키텍처에서 BPF JIT 메모리 재사용 시 IBPB 플러시를 활성화하여 Spectre-v2 완화 조치가 적용된 환경에서의 JIT 스프레이 공격을 방어합니다. 단, BPF 디스패처가 이미 retpoline 시퀀스를 사용하는 경우에는 IBPB 플러시를 건너뜁니다.
💡 쉬운 설명
해커가 컴퓨터의 메모리 구조를 이용해 악성 코드를 실행하는 공격을 막기 위해 보안 기능을 강화했습니다. 특히 CPU의 설계 결함을 이용한 공격으로부터 시스템을 더 안전하게 보호합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
x86/bugs: Enable IBPB flush on BPF JIT allocation
Enable hardening against JIT spraying when Spectre-v2 mitigations are in
use. Specifically, issue an IBPB flush on BPF JIT memory reuse. Skip
enabling the IBPB flush if the BPF dispatcher is already using a retpoline
sequence.
This hardening applies only when BPF-JIT is in use. Guard the enabling
under CONFIG_BPF_JIT so that bugs.c still builds with CONFIG_BPF_JIT=n.
📍 영향받는 시스템
BPF_JIT 기능이 활성화된 x86 기반 Linux 커널
⚔️ 공격 벡터
Spectre-v2 취약점을 이용한 JIT 스프레이 공격을 통한 임의 코드 실행
🛡️ 대응 방법
해당 보안 패치가 적용된 최신 버전의 Linux 커널로 업데이트
🔧 검증 코드
커널 버전과 CONFIG_BPF_JIT 설정이 y로 되어 있는지 확인하여 패치 적용 여부를 검토합니다.
uname -r && grep CONFIG_BPF_JIT /boot/config-$(uname -r)