🇰🇷 한글 설명
리눅스 커널의 netfilter 구성 요소인 nft_lookup에서 반전된 조회(inverted lookups) 시 catchall 요소를 잘못 처리하는 취약점이 발견되었습니다. 이로 인해 특정 조건에서 nft_set_rbtree와 같은 인터벌 세트의 기본 범위 매칭 결과가 잘못 계산되어 의도치 않은 판정이 내려질 수 있습니다.
💡 쉬운 설명
리눅스 방화벽 설정 중 특정 규칙을 거꾸로 적용할 때, 예외 처리를 담당하는 기본 규칙이 제대로 작동하지 않는 문제입니다. 이로 인해 차단해야 할 데이터가 통과되거나 허용해야 할 데이터가 차단되는 보안 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: nft_lookup: fix catchall element handling with inverted lookups
nft_lookup_eval() decides whether a lookup matched (`found`) from the
direct set lookup and priv->invert before falling back to the
catchall element used by interval sets (e.g. nft_set_rbtree) for the
open-ended default range. Since `found` is never recomputed after
`ext` is replaced by the catchall lookup, inverted lookups
(NFT_LOOKUP_F_INV, "!= @set") can wrongly match or wrongly skip the
catchall element, producing the wrong verdict. Fold the catchall
lookup into `ext` before computing `found`, matching the order
already used by nft_objref_map_eval().
📍 영향받는 시스템
Linux kernel (netfilter/nftables 구성 요소가 포함된 버전)
⚔️ 공격 벡터
조작된 nftables 규칙을 통해 네트워크 패킷의 필터링 판정을 왜곡하는 방식
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이상인지 확인하십시오.