🇰🇷 한글 설명
Linux 커널의 RDS TCP 프로토콜 구현 중 rds_tcp_laddr_check() 함수에서 RCU 락을 조기에 해제하여 발생하는 Use-After-Free 취약점입니다. 네트워크 인터페이스가 삭제되는 동안 해제된 메모리 주소를 참조하게 되어 시스템 불안정성이나 권한 상승을 초래할 수 있습니다.
💡 쉬운 설명
네트워크 장치가 삭제되는 순간에 시스템이 이미 사라진 장치의 정보를 읽으려고 시도하여 발생하는 오류입니다. 이로 인해 컴퓨터 시스템이 멈추거나 해커가 시스템 제어권을 얻을 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
rds: tcp: hold the RCU lock across ipv6_chk_addr() in rds_tcp_laddr_check()
rds_tcp_laddr_check() looks up a scoped IPv6 interface with
dev_get_by_index_rcu(), drops the RCU read-side lock, and only then
passes the bare struct net_device * into ipv6_chk_addr().
dev_get_by_index_rcu() only keeps the device alive within the same RCU
read-side section. After rcu_read_unlock(), a concurrent RTM_DELLINK can
free the net_device; ipv6_chk_addr() then dereferences the stale pointer
in __ipv6_chk_addr_and_flags() (e.g. l3mdev_master_dev_rcu(dev)), reading
freed memory.
Keep the RCU read-side lock held across the ipv6_chk_addr() call instead
of dropping it right after the lookup, so the device cannot be freed
while it is in use.
BUG: KASAN: slab-use-after-free in __ipv6_chk_addr_and_flags (... net/ipv6/addrconf.c:1998)
Read of size 8 at addr ffff8880106ec000 by task exploit/153
Call Trace:
...
kasan_report (mm/kasan/report.c:595)
__ipv6_chk_addr_and_flags (... net/ipv6/addrconf.c:1998)
ipv6_chk_addr (net/ipv6/addrconf.c:2031 net/ipv6/addrconf.c:1972)
rds_tcp_laddr_check (net/rds/tcp.c:370)
rds_bind (net/rds/bind.c:248)
__sys_bind (net/socket.c:1920)
__x64_sys_bind (net/socket.c:1956)
do_syscall_64 (arch/x86/entry/syscall_64.c:63)
entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121)
📍 영향받는 시스템
Linux Kernel (RDS TCP 모듈을 사용하는 버전)
⚔️ 공격 벡터
동시에 네트워크 인터페이스를 삭제(RTM_DELLINK)하면서 특정 소켓 바인딩 작업을 수행하여 메모리 오류 유도
🛡️ 대응 방법
RDS TCP 관련 커널 패치를 적용하여 ipv6_chk_addr() 호출 시 RCU 락이 유지되도록 업데이트해야 합니다.
🔧 검증 코드
현재 실행 중인 커널 버전을 확인하여 보안 패치가 적용된 최신 버전인지 확인합니다.