🇰🇷 한글 설명
Linux 커널의 KVM SEV 코드에서, 같은 호스트 내 마이그레이션 시 소스 VM에 대한 캐시 유지보수를 수동으로 수행하도록 수정되었습니다. 이는 VM 파괴 후 CPU 캐시에 오래된 데이터가 남지 않도록 보장하기 위함입니다. 소스 VM이 non-SEV VM으로 전환되어 KVM의 메모리 회수 흐름이 캐시 유지보수를 트리거하지 않기 때문에 이 조치가 필요합니다.
💡 쉬운 설명
가상 머신을 다른 곳으로 옮길 때 이전 머신의 암호화된 데이터가 CPU 캐시에 남아 노출될 수 있었습니다. 이번 수정으로 이전 머신이 삭제될 때 남은 데이터를 확실히 지우도록 개선되었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
KVM: SEV: Do cache maintenance on the source VM during intra-host migration
Manually perform cache maintenance on the source VM during intra-host
migration to ensure no stale data is left in CPU caches after the VM is
destroyed. Because the source VM is "converted" to a non-SEV VM, KVM's
memory reclaim flows won't trigger cache maintenance, e.g. when all guest
memory is reclaimed in response to detaching from the mmu_notifier.
Note, relying on the destination VM to do cache maintenance isn't an option
as KVM doesn't require identical guest memory configurations, i.e. the
source VM may have access to memory that the destination VM does not.
Enforcing equivalent memory configurations is infeasible, as it would
require a *deep* comparison of memslots, e.g. to verify that not only are
the memslot identical, but what the memslots point at is also identical.
📍 영향받는 시스템
Linux 커널 KVM SEV(AMD 보안 가상화)를 사용하는 호스트 시스템 (수정 커널 버전 확인 필요)
⚔️ 공격 벡터
로컬 권한을 가진 공격자가 가상 머신 마이그레이션 후 CPU 캐시에 남은 이전 VM의 민감한 메모리 데이터를 읽어 정보를 유출할 수 있음
🛡️ 대응 방법
최신 Linux 커널 보안 업데이트를 적용하고 재부팅하여 수정 사항을 반영
🔧 검증 코드
출력된 커널 버전을 배포판 보안 공지에서 제공하는 패치된 버전과 비교하여, 같거나 높으면 수정이 적용된 것이고 낮으면 업데이트가 필요합니다.
📊 CVSS Vector String
CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H
💻 영향받는 소프트웨어
IBM Security Verify Access