🇰🇷 한글 설명
Linux 커널의 x86/cfi 구성 요소에서 FineIBT 해시 오프셋 계산 오류가 발견되었습니다. FineIBT 프리앰블의 명령어가 변경되었음에도 불구하고 cfi_get_func_hash() 함수가 이전 오프셋을 참조하여 잘못된 해시를 생성함으로써 커널 패닉을 유발할 수 있습니다.
💡 쉬운 설명
컴퓨터의 보안 검사 기능이 데이터의 위치를 잘못 짚어서 발생하는 오류입니다. 이 오류로 인해 시스템이 보안 위협이 없는 정상적인 동작 중에도 갑자기 멈추거나 꺼질 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
x86/cfi: Fix FineIBT hash offset in cfi_get_func_hash()
The switch of the FineIBT preamble from "subl $hash, %r10d" to the
shorter "subl $hash, %eax" moved the hash immediate from offset 7 to
offset 5 of the preamble. fineibt_preamble_hash was updated to match,
but the open-coded offset in cfi_get_func_hash() was missed and it
still reads the hash at offset 7.
cfi_get_func_hash() is used by the BPF JIT to give a struct_ops
trampoline the CFI hash of the stub function it stands in for. With
FineIBT the trampoline now gets the upper half of the real hash
followed by the first two bytes of the next instruction, so the first
indirect call from the kernel into a struct_ops program,
tcp_init_congestion_control() calling ->init() of a BPF congestion
control for example, fails the FineIBT check and the kernel dies with
a CFI failure.
Move the FineIBT preamble template and its offset defines above
cfi_get_func_hash() and use fineibt_preamble_hash there, so every
reader of the preamble shares one definition of its layout. The
CFI_FINEIBT arm is only built with CONFIG_FINEIBT, the only
configuration in which cfi_mode can take that value.
cfi_get_func_arity() does not need the same treatment: the __bhi_args
call whose displacement it reads still ends at the function address.
📍 영향받는 시스템
FineIBT 기능이 활성화된 CONFIG_FINEIBT 설정의 Linux 커널 (x86 아키텍처)
⚔️ 공격 벡터
직접적인 공격보다는 특정 BPF 프로그램 실행 시 커널의 CFI 검사 실패로 인한 서비스 거부(DoS) 유발 가능성
🛡️ 대응 방법
FineIBT 프리앰블 레이아웃 정의가 수정된 최신 Linux 커널 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 패치된 최신 릴리스 버전인지 확인하십시오.