🇰🇷 한글 설명
Linux 커널의 tracing 기능에서 히스토그램 트리거를 전역 리스트에 등록한 후 참조 횟수를 증가시키는 순서 문제로 인해 발생합니다. 트리거 초기화 중 메모리 할당에 실패할 경우, 리스트에서 제거되지 않은 상태로 객체가 해제되어 Use-After-Free 취약점이 발생합니다.
💡 쉬운 설명
시스템의 기록 기능을 설정하는 과정에서 순서가 잘못되어, 이미 사용 중인 데이터가 메모리에서 삭제된 후 다시 접근하려고 할 때 오류가 발생하는 문제입니다. 이로 인해 시스템이 충돌하거나 보안 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
tracing: Take the reference before publishing the named histogram trigger
event_hist_trigger_named_init() puts the trigger on the global
named_triggers list and only then takes the reference on the trigger it
shares its histogram with:
data->ref++;
save_named_trigger(data->named_data->name, data);
ret = event_hist_trigger_init(data->named_data);
if (ret < 0) {
kfree(data->cmd_ops);
data->cmd_ops = &trigger_hist_cmd;
}
return ret;
event_hist_trigger_init() fails when alloc_hist_pad() cannot allocate, and
nothing takes the trigger back off the list on the way out.
event_hist_trigger_parse() frees it, and the next lookup by name reads the
freed object:
BUG: KASAN: slab-use-after-free in find_named_trigger+0xac/0xc0
Read of size 8 at addr ffff888009346860 by task init/1
find_named_trigger+0xac/0xc0
hist_register_trigger+0xc1/0xa00
event_hist_trigger_parse+0x3146/0x6af0
event_trigger_write+0xce/0x160
Freed by task 67:
kfree+0x154/0x420
trigger_kthread_fn+0xfd/0x160
Do the reference first and publish once it has succeeded, so that nothing
which can fail runs after the trigger becomes findable.
📍 영향받는 시스템
Linux Kernel (tracing subsystem 관련 버전)
⚔️ 공격 벡터
로컬 사용자가 트리거 초기화 과정에서 메모리 할당 실패를 유도하여 Use-After-Free를 유발할 수 있음
🛡️ 대응 방법
커널 패치를 적용하여 트리거를 리스트에 등록하기 전에 참조 횟수를 먼저 증가시키도록 수정해야 함
🔧 검증 코드
출력된 커널 버전을 확인하여 해당 취약점이 해결된 최신 패치 버전인지 확인합니다.