🇰🇷 한글 설명
리눅스 커널의 TCP Fast Path 처리 과정에서 오래된 ACK 패킷을 적절히 검증하지 못하는 취약점이 발견되었습니다. 이로 인해 검증되지 않은 오래된 ACK가 연결 상태를 변경하거나 수신 포인터를 잘못 전진시킬 위험이 있었습니다. 패치 이후에는 해당 패킷들이 Slow Path로 전달되어 RFC5961에 따른 엄격한 검증을 거치게 됩니다.
💡 쉬운 설명
인터넷 통신 규칙을 어기는 아주 오래된 확인 신호(ACK)가 시스템의 통신 상태를 엉뚱하게 바꿀 수 있는 문제입니다. 이제 시스템이 이런 잘못된 신호를 미리 걸러내어 통신 오류를 방지합니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
tcp: exclude old ACKs from tcp fast path
Exclude old ACKs before SND.UNA from the tcp fast path
as well as ACKs after SND.NXT.
Such ACKs will fall through to the slow path, where tcp_ack()
performs the appropriate validation and challenge ACK handling
according to RFC5961 and Commit 3d501dd326fb1c7 ("tcp: do not
accept ACK of bytes we never sent").
This prevents old ACKs from being accepted
or modifying connection state as part of the fast path before
appropriate ACK validation is applied.
In particular, this prevents payload carried by a segment with
an excessively old ACK from advancing RCV.NXT before the ACK
is rejected.
📍 영향받는 시스템
Linux Kernel (패치가 적용되지 않은 이전 버전)
⚔️ 공격 벡터
조작된 오래된 ACK 패킷을 전송하여 TCP 연결 상태를 비정상적으로 조작
🛡️ 대응 방법
최신 보안 패치가 적용된 리눅스 커널로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인