🇰🇷 한글 설명
리눅스 커널의 MPLS 구현 중 mpls_getroute() 함수에서 rtm_tos 필드를 초기화하지 않아 발생하는 정보 유출 취약점입니다. 이로 인해 초기화되지 않은 힙 메모리의 1바이트가 사용자 공간으로 유출될 수 있습니다.
💡 쉬운 설명
컴퓨터 메모리의 일부가 깨끗하게 지워지지 않은 상태로 외부로 전달될 수 있는 보안 결함입니다. 공격자는 이를 통해 시스템 내부의 민감한 정보 일부를 엿볼 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: mpls: initialize rtm_tos in mpls_getroute()
mpls_getroute() builds the RTM_NEWROUTE reply to an RTM_GETROUTE
request by filling a struct rtmsg allocated from an skb whose data
area is not zeroed (alloc_skb(NLMSG_GOODSIZE, ...)). It sets every
field of the header except rtm_tos:
r = nlmsg_data(nlh);
r->rtm_family = AF_MPLS;
r->rtm_dst_len = 20;
r->rtm_src_len = 0;
r->rtm_table = RT_TABLE_MAIN;
r->rtm_type = RTN_UNICAST;
r->rtm_scope = RT_SCOPE_UNIVERSE;
r->rtm_protocol = rt->rt_protocol;
r->rtm_flags = 0;
struct rtmsg has no padding, so the one uninitialised byte rtm_tos
(offset 3) is copied straight to user space on recvmsg(), leaking a
byte of uninitialised heap memory. This is in contrast to
mpls_dump_route(), which fills the very same header and does set
rtm_tos = 0.
Initialize rtm_tos to 0, matching mpls_dump_route().
Reproduced with KMSAN by adding an MPLS route and issuing a
non-RTM_F_FIB_MATCH RTM_GETROUTE for its label:
BUG: KMSAN: kernel-infoleak in _copy_to_iter+0x36c/0x33f0
_copy_to_iter+0x36c/0x33f0
__skb_datagram_iter+0x196/0x12c0
skb_copy_datagram_iter+0x5b/0x210
netlink_recvmsg+0x37b/0xef0
...
Uninit was created at:
__alloc_skb+0x8ca/0x10e0
mpls_getroute+0x1280/0x3a40
rtnetlink_rcv_msg+0x1138/0x15a0
...
Byte 19 of 64 is uninitialized
(byte 19 = nlmsghdr(16) + rtmsg offset 3 = rtm_tos)
📍 영향받는 시스템
MPLS 기능이 활성화된 리눅스 커널 버전 (패치 적용 전)
⚔️ 공격 벡터
Netlink 인터페이스를 통해 RTM_GETROUTE 요청을 보내 초기화되지 않은 메모리 값을 읽어냄
🛡️ 대응 방법
mpls_getroute() 함수 내에서 rtm_tos 필드를 0으로 명시적으로 초기화하는 커널 패치 적용
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 최신 보안 패치 버전인지 확인
💻 영향받는 소프트웨어
NVIDIA Cloud Gaming Guest Driver for Linux