🇰🇷 한글 설명
Linux 커널의 netfilter xt_nat 구성 요소에서 지원되지 않는 IP 패밀리를 처리할 때 NULL 포인터를 참조하여 시스템이 충돌할 수 있는 취약점입니다. nft_compat를 통해 bridge 패밀리 호환 규칙이 생성될 경우 nf_nat_setup_info() 함수에서 NULL 역참조가 발생할 수 있습니다.
💡 쉬운 설명
리눅스 네트워크 설정 중 특정 잘못된 규칙을 만들면 컴퓨터 시스템이 갑자기 멈추거나 꺼질 수 있는 오류입니다. 지원하지 않는 네트워크 형식을 처리하는 과정에서 발생하는 계산 오류를 이용한 것입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: xt_nat: reject unsupported target families
xt_nat SNAT and DNAT target handlers assume IP-family conntrack state
is present and can dereference a NULL pointer when instantiated from an
unsupported family through nft_compat. A bridge-family compat rule can
therefore trigger a NULL-dereference in nf_nat_setup_info().
Reject non-IP families in xt_nat_checkentry() so unsupported targets
cannot be installed. Keep NFPROTO_INET allowed for valid inet NAT
compat users and leave the runtime fast path unchanged.
[ The crash was fixed via
9dbba7e694ec ("netfilter: nft_compat: ebtables emulation must reject non-bridge targets"),
so this patch is no longer critical.
Nevertheless, NAT is only relevant for ipv4/ipv6, so this extra
family check is a good idea in any case. ]
📍 영향받는 시스템
Linux Kernel (netfilter/xt_nat 관련 모듈이 포함된 버전)
⚔️ 공격 벡터
nft_compat를 통해 지원되지 않는 네트워크 패밀리(예: bridge)의 NAT 규칙을 생성하여 NULL 포인터 역참조 유도
🛡️ 대응 방법
커널 패치를 적용하여 xt_nat_checkentry()에서 비-IP 패밀리 생성을 차단하거나 최신 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인