🇰🇷 한글 설명
Linux 커널의 mt76 드라이버에서 AddBA 요청 프레임 처리 시 TX DMA 매핑이 해제되지 않는 메모리 누수 취약점이 발견되었습니다. 이로 인해 WED(Write-Enabled DMA)가 활성화된 환경에서 지속적인 재연결이 발생할 경우 SWIOTLB 풀이 고갈되어 WiFi MCU 및 기타 SoC 구성 요소의 DMA 매핑이 실패할 수 있습니다.
💡 쉬운 설명
와이파이 연결 과정에서 시스템의 메모리 자원이 제대로 반환되지 않고 계속 쌓이는 문제가 있습니다. 이 상태가 며칠간 지속되면 결국 메모리 부족으로 인해 와이파이 기능이 완전히 멈출 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
wifi: mt76: mt7996: fix TX DMA mapping leak for AddBA req frames
mt7996/mt7992 hand the firmware a HW MAC-TXP for AddBA req action frames
(MT_TXD7_MAC_TXD, set in mt7996_mac_write_txwi_80211()), but are otherwise
FW-TXP devices. On tx free mt76_connac_txp_skb_unmap() therefore decodes
the per-frame txp as a struct mt76_connac_fw_txp. For a MAC-TXP the
fw_txp.nbuf byte aliases the AddBA TID word (MT_TXP1_TID_ADDBA), which is
always zero, so the unmap loop runs zero times and the skb DMA mapping in
buf[1] is never unmapped. buf[1].skip_unmap is set unconditionally, so the
generic DMA-ring cleanup skips it as well.
Each AddBA req therefore leaks one TX DMA mapping, roughly one per
(re)association. With WED enabled these mappings are bounced through the
WED swiotlb pool, so under continuous client reconnect churn the pool is
exhausted after ~1-2 days, after which DMA mapping fails for WED, the WiFi
MCU and other on-SoC consumers.
Keep the deferred (token release) unmap that the design relies on, and add
an mt7996-specific txp unmap that inspects MT_TXD7_MAC_TXD and unmaps
buf[1] from the MAC-TXP layout for those frames, delegating to
mt76_connac_txp_skb_unmap() otherwise.
📍 영향받는 시스템
Linux kernel (mt76 driver, mt7996/mt7992 chipset)
⚔️ 공격 벡터
공격자가 지속적인 와이파이 재연결(reconnection churn)을 유도하여 시스템 자원을 고갈시킴
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 mt7996 전용 TXP unmap 로직을 적용해야 함
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인하십시오.