🇰🇷 한글 설명
Linux 커널의 Landlock 보안 모듈에서 OverlayFS의 화이트아웃(whiteout) 객체 생성 시 권한 검사 로직에 결함이 발견되었습니다. 기존에는 화이트아웃 생성이 부적절한 권한으로 허용되거나 Landlock 제한을 우회할 수 있었으나, 이를 LANDLOCK_ACCESS_FS_MAKE_REG 권한으로 강제하도록 수정되었습니다.
💡 쉬운 설명
파일 시스템에서 특정 파일을 숨기는 '화이트아웃' 기능을 만들 때, 보안 규칙을 무시하고 파일을 생성할 수 있었던 보안 허점이 발견되었습니다. 이제는 올바른 권한이 있는 경우에만 이 기능을 사용할 수 있도록 보안이 강화되었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
landlock: Require LANDLOCK_ACCESS_FS_MAKE_REG for whiteout creation
Whiteout objects are used in the upper layer of an OverlayFS to
indicate that the file with this name does not exist in the unified
view, even if it is present in one of the lower layer file systems.
For the userspace implementations of OverlayFS (fuse-overlayfs),
whiteout objects can be created from userspace as well:
* mknod(2) with S_IFCHR and makedev(0, 0)
* renameat2(2) with RENAME_WHITEOUT,
creating the whiteout in the old place of the moved file.
This commit guards whiteout creation in both of these cases with
LANDLOCK_ACCESS_FS_MAKE_REG. Whiteout objects are *not* considered
character devices and are not bound to a driver.
LANDLOCK_ACCESS_FS_MAKE_REG describes the same permission class as a
whiteout object: creating one is the only S_IFCHR creation that the VFS
exempts from CAP_MKNOD, so it is as unprivileged as creating a regular
file, while LANDLOCK_ACCESS_FS_MAKE_CHAR and
LANDLOCK_ACCESS_FS_MAKE_BLOCK keep meaning the creation of devices that
expose a kernel interface [1].
For the mknod(2) case, introduce a Landlock erratum. The creation of
whiteout objects through mknod(2) was previously guarded using
LANDLOCK_ACCESS_FS_MAKE_CHAR, and it is now guarded using
LANDLOCK_ACCESS_FS_MAKE_REG.
For the renameat2(2) case, fix a bug: Before this commit, renameat2(2)
with RENAME_WHITEOUT would create a directory entry even when all
LANDLOCK_ACCESS_FS_MAKE_* rights were denied.
This does not affect normal renames within layered OverlayFS mounts:
When doing a regular rename() on a mounted fuse-overlayfs, it is the
fuse-overlayfs daemon that exercises renameat2() with RENAME_WHITEOUT,
and only the Landlock domain of that daemon is checked there.
Depends-on: 49c9e09d9610 ("landlock: Fix handling of disconnected directories")
Depends-on: fe72ce6710cb ("landlock: Add errata documentation section")
[mic: Record why LANDLOCK_ACCESS_FS_MAKE_REG is the matching right, and
add link(2) to the user doc]
📍 영향받는 시스템
Linux Kernel (Landlock 및 OverlayFS 사용 환경)
⚔️ 공격 벡터
권한이 제한된 Landlock 도메인 내에서 mknod(2) 또는 renameat2(2) 시스템 호출을 이용한 화이트아웃 객체 생성 우회
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인하십시오.