🇰🇷 한글 설명
Linux 커널의 FUSE io-uring 전송 과정에서 헤더를 스택 버퍼를 통해 복사하지 않아 발생하는 취약점입니다. 이로 인해 CONFIG_HARDENED_USERCOPY 설정이 활성화된 시스템에서 커널 패닉(Kernel Panic)이 발생할 수 있습니다.
💡 쉬운 설명
커널이 데이터를 안전하지 않은 방식으로 복사하려고 시도하다가 시스템 보호 기능에 의해 강제로 중단되는 문제입니다. 이로 인해 컴퓨터가 갑자기 멈추거나 재부팅될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
fuse: copy request headers via a stack buffer for io-uring
The fuse-io-uring transport copies req->in.h out to the ring in
fuse_uring_copy_to_ring() and req->out.h back in fuse_uring_commit().
Both headers live inside the fuse_request slab object, whose cache
(fuse_req_cachep) is created without a usercopy whitelist, so copying
them directly to/from userspace trips CONFIG_HARDENED_USERCOPY and
panics:
usercopy: Kernel memory exposure attempt detected from SLUB object
'fuse_request' (offset 56, size 40)!
kernel BUG at mm/usercopy.c:102!
Oops: invalid opcode: 0000 [#1] SMP KASAN NOPTI
RIP: 0010:usercopy_abort (mm/usercopy.c:90)
Call Trace:
__check_heap_object (mm/slub.c:8268)
__check_object_size (mm/usercopy.c:197 mm/usercopy.c:258 mm/usercopy.c:223)
copy_header_to_ring (fs/fuse/dev_uring.c:618)
fuse_uring_prepare_send (fs/fuse/dev_uring.c:776 fs/fuse/dev_uring.c:785)
fuse_uring_send_in_task (fs/fuse/dev_uring.c:1306)
tctx_task_work_run (io_uring/tw.c:96)
task_work_run (kernel/task_work.c:233)
io_run_task_work (io_uring/tw.h:84)
io_cqring_wait (io_uring/wait.c:278)
__do_sys_io_uring_enter (io_uring/io_uring.c:2685)
entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:121)
Bounce both headers through an on-stack copy so the usercopy touches
stack memory, not the slab object.
📍 영향받는 시스템
io-uring 및 FUSE 기능을 사용하는 Linux 커널 (CONFIG_HARDENED_USERCOPY 활성화 환경)
⚔️ 공격 벡터
로컬 사용자가 특수하게 조작된 io-uring 요청을 FUSE를 통해 전달하여 커널 패닉 유도
🛡️ 대응 방법
FUSE io-uring 헤더 복사 시 스택 버퍼를 사용하도록 수정된 최신 Linux 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 보안 업데이트 버전인지 확인