🇰🇷 한글 설명
Linux 커널의 peak_usb 드라이버에서 URB 제출 오류 발생 시 전송 버퍼를 중복으로 해제하는 Double Free 취약점이 발견되었습니다. usb_submit_urb() 실패 시 명시적인 kfree() 호출과 URB_FREE_BUFFER 플래그에 의한 usb_free_urb()의 자동 해제가 동시에 발생하여 메모리 오류를 유발합니다.
💡 쉬운 설명
컴퓨터가 데이터를 주고받는 과정에서 사용한 메모리 공간을 실수로 두 번 지우려고 시도하는 오류입니다. 이로 인해 시스템이 갑자기 멈추거나 보안 공격에 이용될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
can: peak_usb: peak_usb_start(): fix double free of transfer buffer on URB submit error
In peak_usb_start(), each RX URB transfer buffer is allocated with kmalloc()
and the URB is flagged URB_FREE_BUFFER so that the final usb_free_urb() also
frees the transfer buffer.
If usb_submit_urb() fails, the error path frees the buffer explicitly with
kfree(buf) and then calls usb_free_urb(urb). Because URB_FREE_BUFFER is set,
usb_free_urb() -> urb_destroy() frees the same buffer a second time, a double
free of the transfer buffer.
BUG: KASAN: double-free in usb_free_urb.part.0+0x91/0xb0
Free of addr ffff8881069ccb80 by task trigger.sh/285
Call Trace:
kfree+0x113/0x3c0
usb_free_urb.part.0+0x91/0xb0
Drop the redundant kfree(buf); usb_free_urb() already releases the transfer
buffer. This mirrors commit 03819abbeb11 ("net: usb: lan78xx: Fix double free
issue with interrupt buffer allocation").
📍 영향받는 시스템
Linux Kernel (peak_usb 드라이버를 사용하는 시스템)
⚔️ 공격 벡터
USB 장치 통신 중 의도적으로 URB 제출 오류를 유발하여 메모리 손상 유도
🛡️ 대응 방법
커널 패치를 통해 usb_submit_urb() 실패 경로에서 중복된 kfree() 호출을 제거
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 최신 패치 버전인지 확인