🇰🇷 한글 설명
Linux 커널의 SEG6 구현에서 SRH(Segment Routing Header) 길이를 검증하기 전에 고정 필드를 먼저 읽음으로써 발생하는 취약점입니다. BPF SEG6 캡슐화 경로를 통해 조작된 짧은 길이의 헤더가 전달될 경우, 할당된 버퍼 범위를 벗어난 메모리 읽기가 발생할 수 있습니다.
💡 쉬운 설명
데이터의 길이를 제대로 확인하지 않고 내용을 먼저 읽으려다 발생하는 보안 허점입니다. 공격자가 아주 짧은 데이터를 보내면 컴퓨터가 허용되지 않은 메모리 영역을 엿볼 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
seg6: validate SRH length before reading fixed fields
seg6_validate_srh() reads fixed SRH fields such as srh->type and
srh->hdrlen before checking that the supplied length covers the fixed
struct ipv6_sr_hdr fields.
The BPF SEG6 encap path reaches this with a BPF program-supplied pointer
and length: bpf_lwt_push_encap() and the SEG6 local BPF END_B6 and
END_B6_ENCAP actions call bpf_push_seg6_encap(), which forwards the
length to seg6_validate_srh() with no minimum-size guard. A 2-byte SEG6
encap header can therefore make the validator read srh->type at offset 2
beyond the caller-supplied buffer.
Reject lengths shorter than the fixed SRH at the top of
seg6_validate_srh(), before any field is read. This fixes the BPF helper
path and keeps the common validator robust.
📍 영향받는 시스템
SEG6 및 BPF LWT 기능을 사용하는 Linux 커널 버전
⚔️ 공격 벡터
조작된 길이의 SEG6 캡슐화 헤더를 포함한 패킷을 BPF 프로그램을 통해 전달
🛡️ 대응 방법
SEG6 SRH 필드를 읽기 전에 최소 길이를 검증하도록 커널을 최신 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인합니다.