🇰🇷 한글 설명
Linux 커널의 xfrm_interface 모듈에서 changelink 작업 시 네트워크 네임스페이스(netns)에 대한 권한 검증이 미흡한 취약점이 발견되었습니다. 공격자가 특정 네임스페이스에서 권한을 가지고 있다면, 자신이 권한이 없는 다른 네임스페이스에 속한 인터페이스 설정을 임의로 변경할 수 있습니다.
💡 쉬운 설명
컴퓨터 내부의 가상 네트워크 공간 중 하나에서 권한을 가진 사용자가, 권한이 없는 다른 가상 공간의 네트워크 설정을 마음대로 바꿀 수 있는 문제입니다. 이를 통해 네트워크 연결을 방해하거나 가로챌 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
xfrm: xfrm_interface: require CAP_NET_ADMIN in the device netns for changelink
xfrmi_changelink() operates on at most two netns, dev_net(dev) and the
interface link netns xi->net. They differ once the device is created in
or moved to a netns other than the one the request runs in. The rtnl
changelink path checks CAP_NET_ADMIN only against dev_net(dev), so a
caller privileged there but not in xi->net can rewrite an interface that
lives in xi->net.
Gate xfrmi_changelink() on rtnl_dev_link_net_capable() at its top,
before any attribute is parsed.
📍 영향받는 시스템
Linux Kernel (xfrm_interface 모듈 사용 환경)
⚔️ 공격 벡터
권한이 있는 네트워크 네임스페이스에서 다른 네임스페이스에 속한 xfrm 인터페이스의 changelink 요청을 전송
🛡️ 대응 방법
xfrm_interface의 changelink 함수 호출 시 대상 네임스페이스에 대한 CAP_NET_ADMIN 권한을 확인하도록 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인