🇰🇷 한글 설명
Linux 커널의 ThunderboltIP 네트워크 스택에서 프레임 개수 검증 미흡으로 인한 frags[] 배열 오버플로 취약점이 발견되었습니다. 공격자가 조작된 ThunderboltIP 패킷을 전송할 경우, skb_shinfo()->frags[] 범위를 벗어나 메모리를 오염시킬 수 있습니다.
💡 쉬운 설명
썬더볼트 연결을 통해 들어오는 데이터 패킷의 개수를 제대로 확인하지 않아 발생하는 문제입니다. 나쁜 의도를 가진 장치가 너무 많은 조각으로 나뉜 데이터를 보내면 컴퓨터의 중요한 메모리 영역을 망가뜨릴 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: thunderbolt: Fix frags[] overflow by bounding frame_count
tbnet_poll() assembles a multi-frame ThunderboltIP packet into one skb. The
first frame goes into the skb linear area and every further frame is added as
a page fragment.
skb_add_rx_frag(skb, skb_shinfo(skb)->nr_frags,
page, hdr_size, frame_size,
TBNET_RX_PAGE_SIZE - hdr_size);
A packet of frame_count frames therefore ends up with frame_count - 1
fragments. tbnet_check_frame() only bounds the peer supplied frame_count to
TBNET_RING_SIZE / 4 (64), which is far above MAX_SKB_FRAGS (17 by default). A
peer that sends a packet of 19 or more small frames pushes nr_frags past
MAX_SKB_FRAGS, so skb_add_rx_frag() writes past skb_shinfo()->frags[] and
corrupts memory after the shared info.
Tighten the start of packet bound to MAX_SKB_FRAGS + 1 so a packet can never
produce more fragments than frags[] can hold. This matches the recent skb
frags overflow fixes in other receive paths, for example f0813bcd2d9d ("net:
wwan: t7xx: fix potential skb->frags overflow in RX path") and 600dc40554dc
("net: usb: cdc-phonet: fix skb frags[] overflow in rx_complete()").
📍 영향받는 시스템
ThunderboltIP 기능을 사용하는 Linux 커널 버전
⚔️ 공격 벡터
조작된 다중 프레임(19개 이상의 작은 프레임)을 포함한 ThunderboltIP 패킷 전송
🛡️ 대응 방법
커널 패치를 적용하여 tbnet_check_frame()의 프레임 개수 제한을 MAX_SKB_FRAGS + 1로 강화
🔧 검증 코드
출력된 커널 버전을 확인하여 취약점이 해결된 최신 패치 버전인지 확인합니다.