🇰🇷 한글 설명
Linux 커널의 netfilter ip6tables 구성 요소에서 IPv6 확장 헤더의 길이가 실제 데이터 크기보다 크게 설정된 경우 이를 제대로 처리하지 못하는 취약점이 발견되었습니다. 이로 인해 잘못된 형식의 패킷이 규칙을 우회하여 시스템에 도달할 수 있었으나, 수정된 버전에서는 해당 패킷을 즉시 차단(hotdrop)하도록 개선되었습니다.
💡 쉬운 설명
공격자가 조작된 IPv6 패킷을 보내 보안 규칙을 몰래 통과시키려 할 수 있는 결함이 있었습니다. 이제 시스템은 데이터 크기가 맞지 않는 수상한 패킷을 발견하면 즉시 버리도록 업데이트되었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: ip6tables: mark malformed IPv6 extension headers for hotdrop
The ah, hbh and rt matches check that the fixed extension header is
present, then use the header length field to derive the advertised
extension header length for matching.
For the ah match, add the missing advertised-length check. For hbh
and rt, update the existing advertised-length checks. In all three
cases, set hotdrop to true before returning false when the advertised
extension header length exceeds the available skb data.
Returning false treats the packet as a rule mismatch. Set hotdrop to
true and drop malformed packets so they cannot bypass rules intended
to drop packets with these IPv6 extension headers.
📍 영향받는 시스템
IPv6 확장 헤더(AH, HBH, RT)를 사용하는 Linux 커널 버전
⚔️ 공격 벡터
조작된 IPv6 확장 헤더 길이를 포함한 악성 패킷 전송을 통한 보안 규칙 우회
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 최신 패치 버전인지 확인