🇰🇷 한글 설명
리눅스 커널의 audit 시스템에서 fsnotify 규칙 자동 제거 시 라이브 트리 참조를 잘못 해제하는 취약점이 발견되었습니다. 이로 인해 특정 조건에서 메모리 참조 오류가 발생하여 시스템 안정성에 영향을 줄 수 있습니다.
💡 쉬운 설명
컴퓨터의 보안 기록을 관리하는 기능에서 메모리 관리 실수로 인해 시스템이 충돌하거나 오류가 발생할 수 있는 문제입니다. 특정 규칙이 삭제될 때 이미 사용 중인 데이터를 잘못 건드리는 것이 원인입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
audit: avoid dropping live tree ref on fsnotify rule autoremove
audit_del_rule() is used for both netlink deletion templates and internal
fsnotify autoremove. The former passes a parsed template which owns a
temporary tree reference; the latter passes the installed entry itself.
The unconditional audit_put_tree() at the end of audit_del_rule() assumes
the template case. For mixed AUDIT_DIR plus AUDIT_EXE rules, an fsnotify
autoremove event therefore drops the installed rule's live tree reference.
Repeating this across rules sharing the same tree can free the tree while
another rule still references it, and a later autoremove dereferences the
freed pathname while comparing rules.
Move the temporary-tree put to audit_rule_change(), the caller that owns
deletion templates. Keep it in the AUDIT_DEL_RULE cleanup so both
successful deletion and -ENOENT still release the parser-owned tree.
[PM: dropped unnecessary comment for line length reasons]
📍 영향받는 시스템
Linux Kernel (audit 및 fsnotify 관련 모듈을 사용하는 버전)
⚔️ 공격 벡터
로컬 공격자가 특정 audit 규칙(AUDIT_DIR 및 AUDIT_EXE 혼합)을 생성하고 fsnotify 자동 제거를 유도하여 메모리 오류 유발
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인하십시오.