🇰🇷 한글 설명
Linux 커널의 libipw 구성 요소에서 association 응답의 길이를 계산할 때 정수 오버플로가 발생하여 버퍼 오버리드 취약점이 존재합니다. 공격자가 조작된 짧은 프레임을 전송하면 시스템이 잘못된 길이를 계산하여 수신 버퍼를 넘어선 메모리 영역을 읽게 됩니다.
💡 쉬운 설명
와이파이 연결 과정에서 사용하는 데이터의 길이를 계산할 때 오류가 발생하여, 시스템이 허용된 범위보다 더 많은 데이터를 읽으려 시도하는 문제입니다. 이를 통해 공격자는 시스템의 민감한 정보를 훔쳐보거나 오류를 일으킬 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
wifi: libipw: reject too-short association responses
libipw_handle_assoc_resp() reads the capability, status and aid fields
of the 30-byte association response prefix and then computes the
information element length as
stats->len - sizeof(*frame)
stats->len is a u16 and sizeof() has type size_t, so the subtraction is
evaluated as size_t and wraps instead of going negative. Truncating
that to the u16 length parameter of libipw_parse_info_param() turns a
frame shorter than the fixed fields into a length near 64 KiB, and the
parser then reads past the receive buffer.
Both the ipw2100 and ipw2200 management receive paths reach this
function having established only that the frame carries the generic
24-byte three-address header.
Reject the frame before any fixed field is touched.
Found by an AI-assisted review of length arithmetic in management frame
parsers. Verified with a KUnit case under Generic KASAN on arm64 under
QEMU; I do not have the hardware, so it is not tested on a real device.
📍 영향받는 시스템
Linux kernel (ipw2100 및 ipw2200 관리 수신 경로를 사용하는 시스템)
⚔️ 공격 벡터
조작된 짧은 길이의 Wi-Fi association 응답 프레임을 전송하여 발생
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트하여 libipw의 길이 검증 로직을 수정해야 합니다.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인합니다.