🇰🇷 한글 설명
Linux 커널의 VXLAN 구현 중 route_shortcircuit() 함수에서 네트워크 헤더의 가용성을 확인하는 과정에 오류가 있습니다. pskb_may_pull() 대신 pskb_network_may_pull()를 사용하여 네트워크 헤더 전체가 선형 버퍼에 있는지 확인하지 않을 경우, IP 헤더의 목적지 주소를 참조할 때 버퍼 범위를 벗어난 메모리를 읽을 수 있는 취약점이 존재합니다.
💡 쉬운 설명
데이터를 처리할 때 필요한 정보가 충분히 준비되었는지 확인하는 과정에서 실수로 일부를 놓치는 보안 결함입니다. 이로 인해 공격자가 시스템의 허용되지 않은 메모리 영역을 엿볼 수 있는 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
vxlan: use pskb_network_may_pull() in route_shortcircuit()
route_shortcircuit() currently calls pskb_may_pull(skb, sizeof(struct iphdr))
(or ipv6hdr), which checks if bytes are available starting from skb->data.
However, in vxlan_xmit(), skb->data points to the MAC header, so
skb_network_offset(skb) is ETH_HLEN (14 bytes). Using pskb_may_pull(skb, 20)
only checks 20 bytes from skb->data (which is 14 bytes MAC header + 6 bytes of
IP header), leaving the rest of the IP header potentially un-pulled in non-linear
frags. Subsequent dereferences of ip_hdr(skb)->daddr can read beyond the pulled
linear buffer length.
Fix this by using pskb_network_may_pull(), which adds skb_network_offset(skb) to
the length check to ensure the full network header is present in the linear buffer.
📍 영향받는 시스템
VXLAN 기능을 사용하는 Linux 커널 버전
⚔️ 공격 벡터
조작된 VXLAN 패킷을 전송하여 네트워크 헤더 처리 과정에서 메모리 경계 외 읽기 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 취약점이 해결된 패치 버전 이후인지 확인