🇰🇷 한글 설명
Linux 커널의 dma-fence 구성 요소에서 dma_fence_dedup_array() 함수가 입력값이 0일 때 1을 반환하는 논리적 오류가 발견되었습니다. 이로 인해 amdgpu_userq_wait_* 함수 호출 시 초기화되지 않은 펜스 슬롯을 참조하여 시스템 불안정성을 초래할 수 있습니다.
💡 쉬운 설명
데이터를 정리하는 과정에서 빈 목록을 받았음에도 불구하고 하나가 남아있다고 잘못 보고하는 버그입니다. 이 잘못된 정보 때문에 컴퓨터가 존재하지 않는 데이터를 읽으려다 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
dma-fence: Make dma_fence_dedup_array() robust against 0-count input
dma_fence_dedup_array() returns 1 when called with num_fences == 0:
the for-loop body never executes, j stays at 0, and the final
`return ++j` yields 1. This contradicts both the kernel-doc ("Return:
Number of unique fences remaining in the array") and the natural
expectation that 0 input gives 0 output.
The caller __dma_fence_unwrap_merge() bails out via the
`if (count == 0 || count == 1)` fast path and so is save.
But amdgpu_userq_wait_*() could reach the dedup call with a zero local
count and dereference an uninitialized fence slot in the array.
Make the contract match the documentation by returning 0 early. This
also skips an unnecessary sort() call on an empty array.
📍 영향받는 시스템
dma-fence 및 amdgpu 드라이버를 사용하는 Linux 커널 버전
⚔️ 공격 벡터
로컬 공격자가 amdgpu 관련 시스템 호출을 조작하여 초기화되지 않은 메모리 영역에 접근
🛡️ 대응 방법
dma_fence_dedup_array() 함수가 0을 반환하도록 수정된 최신 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인