🇰🇷 한글 설명
Linux 커널의 vhost-scsi 구성 요소에서 엔드포인트 활성화 이후 기능(feature) 변경 요청을 적절히 거부하지 못해 발생하는 취약점입니다. T10-PI 기능이 사후에 활성화될 경우 보호용 scatterlist(prot_sgl)가 할당되지 않아 커널의 BUG_ON() 조건에 걸리며 시스템이 중단될 수 있습니다.
💡 쉬운 설명
컴퓨터의 가상 저장 장치 설정이 이미 시작된 후에 갑자기 새로운 기능을 켜려고 할 때, 시스템이 이를 제대로 처리하지 못해 멈춰버리는 문제입니다. 이로 인해 서버의 운영체제가 갑자기 꺼지거나 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
vhost-scsi: reject feature changes after endpoint
vhost_scsi_setup_vq_cmds() runs from VHOST_SCSI_SET_ENDPOINT and allocates
each command's protection scatterlist array (prot_sgl) according to the
acknowledged VIRTIO_SCSI_F_T10_PI bit. The command pools are not rebuilt
when VHOST_SET_FEATURES changes that bit later.
Although virtio feature bits must not change after feature negotiation,
vhost_scsi_set_features() currently accepts such a request after the
endpoint is active and updates acked_features. Enabling T10-PI after
endpoint setup therefore leaves prot_sgl NULL while the I/O path follows
the new feature bit.
For a 129-page protection payload, vhost_scsi_mapal() passes the missing
first chunk to sg_alloc_table_chained():
sg_alloc_table_chained(table, 129, first_chunk=NULL,
nents_first_chunk=inline_sg_cnt)
sg_pool_index() then hits:
BUG_ON(nents > SG_CHUNK_SIZE); /* 129 > 128 */
The kernel reported the following call trace and register state:
Call Trace:
<TASK>
? __sg_alloc_table+0x1d8/0x250
? __pfx_vhost_run_work_list+0x10/0x10 [vhost]
sg_alloc_table_chained+0x59/0xf0
? __pfx_sg_pool_alloc+0x10/0x10
? vhost_scsi_calc_sgls.constprop.0+0x43/0x60 [vhost_scsi]
vhost_scsi_handle_vq+0xf02/0x1700 [vhost_scsi]
? __pfx_vhost_scsi_handle_vq+0x10/0x10 [vhost_scsi]
vhost_scsi_handle_kick+0x37/0x50 [vhost_scsi]
vhost_run_work_list+0x8e/0xd0 [vhost]
vhost_task_fn+0xe1/0x210
ret_from_fork+0x348/0x540
</TASK>
RIP: 0010:0x4
CR2 = 0x4
RSP: 0018:ffffc90000dbf940 EFLAGS: 00010202
RAX: ffffffff82396810 RBX: ffff88811dc28b80 RCX: 0000000000000000
RDX: 0000000000000000 RSI: 0000000000000820 RDI: 0000000000000081
VHOST_F_LOG_ALL is a vhost-specific runtime feature and remains the only
exception.
Reject changes to any feature other than VHOST_F_LOG_ALL while the
endpoint is active. This preserves the existing runtime log toggle while
preventing feature-dependent command resources and data-path state from
becoming inconsistent. Userspace must clear the endpoint before changing
any other negotiated feature and set the endpoint up again afterward.
📍 영향받는 시스템
Linux kernel (vhost-scsi 모듈을 사용하는 시스템)
⚔️ 공격 벡터
악의적인 사용자 공간(Userspace) 프로세스가 엔드포인트가 활성화된 상태에서 VIRTIO_SCSI_F_T10_PI와 같은 기능을 변경하도록 요청하여 커널 패닉 유도
🛡️ 대응 방법
vhost-scsi가 엔드포인트 활성화 후 VHOST_F_LOG_ALL을 제외한 기능 변경 요청을 거부하도록 커널을 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인하십시오.