🇰🇷 한글 설명
Linux 커널의 ieee802154: ca8210 드라이버에서 64비트 환경 사용 시 kfifo를 통해 포인터를 전달할 때 포인터 절단(truncation)이 발생하는 취약점입니다. 데이터 크기를 4바이트로 고정하여 전달함으로써 64비트 포인터의 상위 4바이트가 누락되어 잘못된 메모리 주소에 접근하게 됩니다.
💡 쉬운 설명
64비트 컴퓨터에서 데이터를 주고받을 때 주소 정보의 절반만 전달되어, 컴퓨터가 엉뚱한 메모리 위치를 참조하게 만드는 오류입니다. 이로 인해 시스템이 갑자기 멈추거나 오류(Oops)가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ieee802154: ca8210: fix pointer truncation in kfifo on 64-bit
ca8210_test_int_driver_write() and ca8210_test_int_user_read() exchange
a kmalloc'd buffer pointer through a struct kfifo, but pass a literal
'4' as the byte count to kfifo_in()/kfifo_out().
This is correct on 32-bit (pointer = 4 bytes), but on 64-bit only the
low 4 bytes of the 8-byte pointer are written into the FIFO. The reader
then reads back 4 bytes into an 8-byte local pointer variable, leaving
the upper 4 bytes uninitialized stack data. The first dereference of
the reconstructed pointer (fifo_buffer[1]) accesses an arbitrary kernel
address and generally results in an oops.
Use sizeof(fifo_buffer) so the byte count matches pointer width on every
architecture.
The driver has no architecture restriction in Kconfig, so any 64-bit
build with CONFIG_IEEE802154_CA8210_DEBUGFS=y is exposed. Issue has
been latent since the driver was added in 2017 because it is most
commonly deployed on 32-bit MCUs.
Found via a custom Coccinelle semantic patch hunting for short-byte
kfifo I/O on byte-mode kfifos used to shuttle pointers.
📍 영향받는 시스템
CONFIG_IEEE802154_CA8210_DEBUGFS=y 옵션이 활성화된 64비트 Linux 커널 시스템
⚔️ 공격 벡터
커널 디버그 파일 시스템(debugfs)을 통해 조작된 데이터를 입력하여 잘못된 포인터 역참조 유도
🛡️ 대응 방법
kfifo_in/out 함수 호출 시 고정된 숫자 대신 sizeof()를 사용하여 포인터 크기에 맞는 정확한 바이트 수를 전달하도록 커널 패치 적용
🔧 검증 코드
결과값에 CONFIG_IEEE802154_CA8210_DEBUGFS=y가 포함되어 있으면 해당 취약점에 노출될 가능성이 있는 시스템입니다.
zgrep -E 'CONFIG_IEEE802154_CA8210_DEBUGFS' /proc/config.gz 2>/dev/null || grep -E 'CONFIG_IEEE802154_CA8210_DEBUGFS' /boot/config-$(uname -r)