🇰🇷 한글 설명
Linux 커널의 nouveau 드라이버 내 UVMM 구성 요소에서 발생한 취약점으로, 특정 작업 실패 시 참조 카운트가 관리되지 않은 상태로 메모리 영역이 조기 해제됩니다. 이로 인해 다른 작업이 사용 중인 메모리 영역이 해제되어 Use-After-Free(UAF) 취약점이 발생할 수 있습니다.
💡 쉬운 설명
컴퓨터의 그래픽 카드를 관리하는 프로그램에서 실수로 사용 중인 메모리를 미리 지워버리는 오류가 발견되었습니다. 이 오류를 이용하면 시스템이 불안정해지거나 해커가 시스템 권한을 탈취할 위험이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
drm/nouveau/uvmm: fix premature region free on failed OP_UNMAP_SPARSE
In nouveau_uvmm_bind_job_submit()'s OP_UNMAP_SPARSE arm, op->reg is set
from nouveau_uvma_region_find(), which only looks the region up and takes
no reference; a region's sole reference is its membership in
uvmm->region_mt. Two failure paths leave op->reg set: the -ENOENT check
when the region is busy, and the drm_gpuvm_sm_unmap_ops_create() failure.
The sibling nouveau_uvmm_sm_unmap_prepare() failure just below clears
op->reg; these two do not.
unwind_continue steps back one op, so the failing op is skipped by the
unwind loop and its op->reg stays set. nouveau_uvmm_bind_job_cleanup()
then enters its if (op->reg) branch and calls nouveau_uvma_region_remove()
and nouveau_uvma_region_put() on it, dropping the tree's sole reference
and freeing a region this job never created. The comment above the
cleanup loop documents the broken invariant: op->reg must be NULL on
submit failure.
This frees a live region on an unrelated failure, reachable single-job
when drm_gpuvm_sm_unmap_ops_create() returns -ENOMEM; if another job owns
the same region, its cleanup then removes and puts the freed region, a
use-after-free. Clear op->reg on both failure paths.
📍 영향받는 시스템
Linux Kernel (nouveau driver 포함 버전)
⚔️ 공격 벡터
메모리 할당 실패를 유도하는 특수하게 조작된 GPU 작업 제출을 통한 로컬 공격
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 최신 패치 버전인지 확인하십시오.