🇰🇷 한글 설명
Linux 커널의 BPF 구현 중 rhtab 요소 재사용 과정에서 특수 필드가 초기화되는 취약점입니다. 삭제된 메모리 요소가 재사용될 때 타이머 관련 포인터가 유실되어, 해제된 메모리를 참조하는 콜백이 실행될 수 있는 Use-After-Free 위험이 있습니다.
💡 쉬운 설명
컴퓨터 메모리를 재사용하는 과정에서 중요한 정보가 지워져 발생하는 오류입니다. 이로 인해 이미 사용이 끝난 메모리 영역을 시스템이 다시 건드리게 되어 시스템이 불안정해지거나 보안 문제가 생길 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
bpf: Preserve special fields in recycled rhtab elements
rhtab_map_update_elem() initializes special fields after obtaining an
element from bpf_mem_cache_alloc(). The allocator can return a fresh,
zeroed unit, or recycle one from its RCU-pending lists before the
registered destructor has run.
A BPF program can retain a map-value pointer after deleting its element
and initialize and arm a timer through that pointer. If the deleted unit
is recycled, check_and_init_map_value() clears the only pointer to the
timer. Neither a later deletion nor rhtab_mem_dtor() can then cancel it,
and the callback can run with its key and value pointing into freed memory.
Do not reinitialize special fields on insertion. Fresh allocator units are
already zeroed. For recycled units, the special fields are ownership state
that must remain visible to the eventual destructor. copy_map_value()
already skips those fields, matching the non-preallocated hash-map path and
the lifecycle established by commit 275c30bcee66 ("bpf: Don't reinit map
value in prealloc_lru_pop").
[ kkd: Split out the fix and rewrote the commit log ]
📍 영향받는 시스템
Linux Kernel (BPF rhtab 관련 기능이 포함된 버전)
⚔️ 공격 벡터
BPF 프로그램을 통해 삭제된 맵 요소의 포인터를 유지한 채 타이머를 설정하여 메모리 재사용을 유도하는 방식
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인하십시오.