🇰🇷 한글 설명
Linux 커널의 netfilter SIP NAT 헬퍼에서 메모리 버그와 헤더 손상이 발생할 수 있는 취약점입니다. skb_ensure_writable() 호출 시 데이터 버퍼가 재할당되어도 데이터 포인터(dptr)를 업데이트하지 않아 오래된(stale) 포인터를 참조하게 됩니다.
💡 쉬운 설명
네트워크 패킷을 처리하는 과정에서 메모리 주소를 잘못 참조하여 데이터가 깨지거나 시스템 오류가 발생할 수 있는 문제입니다. 특히 특정 통신 규격(SIP)을 처리할 때 메모리 관리 오류가 발생합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nf_nat_sip: reload possible stale data pointer
quoting sashiko:
------------------------------------------------------------------------
[..] noticed a potential memory bug and header corruption involving the
SIP NAT helper.
In net/netfilter/nf_nat_sip.c:nf_nat_sip():
if (skb_ensure_writable(skb, skb->len)) {
nf_ct_helper_log(skb, ct, "cannot mangle packet");
return NF_DROP;
}
uh = (void *)skb->data + protoff;
uh->dest = ct_sip_info->forced_dport;
if (!nf_nat_mangle_udp_packet(skb, ct, ctinfo, protoff,
0, 0, NULL, 0)) {
If a cloned or fragmented SKB is reallocated by skb_ensure_writable(), the
old data buffer is freed. However, nf_nat_sip() fails to update *dptr to
point to the new buffer.
It also appears to use nf_nat_mangle_udp_packet() on what could be a TCP
packet, which would overwrite the sequence number with a checksum update.
------------------------------------------------------------------------
nf_conntrack_sip linerizes skbs, hence no fragmented skb can be seen.
But clones are possible, so rebuild dptr.
Disable nf_nat_mangle_udp_packet() branch for TCP streams.
It doesn't look like this can ever happen, else we should have received
bug reports about this, so just check the conntrack is UDP and drop
otherwise.
The calling conntrack_sip set ->forced_dport for SIP_HDR_VIA_UDP messages,
so I don't think this is ever expected to be true for a TCP stream.
📍 영향받는 시스템
SIP NAT 헬퍼(nf_nat_sip)를 사용하는 Linux 커널 버전
⚔️ 공격 벡터
조작된 클론(cloned) SKB 패킷을 전송하여 메모리 손상 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 해당 취약점이 해결된 패치 버전인지 확인합니다.