🇰🇷 한글 설명
Linux 커널의 ice 드라이버에서 ice_reset_all_vfs() 함수 호출 시 FDIR 필터가 활성화된 가상 기능(VF)의 CTRL VSI 리소스가 해제되지 않고 누수되는 취약점입니다. 기존에는 리소스를 무효화만 하고 해제하지 않았으나, ice_vf_ctrl_vsi_release()를 사용하여 리소스를 완전히 해제하도록 수정되었습니다.
💡 쉬운 설명
네트워크 장치를 초기화할 때 사용하던 메모리 자원이 제대로 정리되지 않고 쌓이는 문제가 있습니다. 이 문제가 반복되면 시스템의 자원이 고갈되어 성능 저하나 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ice: fix FDIR CTRL VSI resource leak in ice_reset_all_vfs()
Resetting all VFs causes resource leak on VFs with FDIR filters
enabled as CTRL VSIs are only invalidated and not freed. Fix by using
ice_vf_ctrl_vsi_release() instead of ice_vf_ctrl_invalidate_vsi() which
aligns behavior with the ice_reset_vf() function.
Reproduction:
echo 1 > /sys/class/net/$pf/device/sriov_numvfs
ethtool -N $vf flow-type ether proto 0x9000 action 0
echo 1 > /sys/class/net/$pf/device/reset
📍 영향받는 시스템
Linux kernel (ice driver 사용 시스템)
⚔️ 공격 벡터
로컬 권한을 가진 사용자가 네트워크 인터페이스의 VF 리셋을 반복적으로 수행하여 자원 고갈 유도
🛡️ 대응 방법
ice 드라이버의 수정 사항이 반영된 최신 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 버전인지 확인