🇰🇷 한글 설명
Linux 커널의 Open vSwitch conntrack 모듈에서 헬퍼 함수 호출 중 확장(extension) 영역이 재할당되면서 expectation 리스트에 남은 포인터가 무효화되어 발생하는 Use-After-Free 취약점입니다. 헬퍼 호출을 모든 확장 추가 이후로 옮겨 문제를 해결했습니다.
💡 쉬운 설명
네트워크 연결을 추적하는 기능에서 메모리 주소가 바뀌었는데 옛 주소를 계속 사용하는 버그입니다. 공격자가 이를 악용하면 시스템 권한을 얻거나 커널이 비정상 종료될 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: openvswitch: conntrack: fix helper UAF due to extensions realloc
While calling the helpers, a raw pointer to the extensions area is
wired into expectations list:
-> nf_ct_helper()
-> helper->help()
-> nf_ct_expect_related_report()
-> nf_ct_expect_insert()
-> hlist_add_head_rcu(&exp->lnode, &master_help->expectations)
In case the connection is not confirmed yet, more extensions can be
added afterwards with *_ext_add() calls reallocating the extension
space and leaving the now invalid pointer in the expectations list
that is later accessed while removing the expectation.
Make sure that helpers are called at the end after all the other
extensions are already added.
Note that the helper rejection now leaves the mark and labels set,
but that's not different from how the NAT was handled before or how
the mark and the labels were handled on confirmation failure. And
there are no atomicity guarantees provided by the API anyway.
📍 영향받는 시스템
패치가 적용되지 않은 Linux 커널 (Open vSwitch conntrack 기능 사용 환경)
⚔️ 공격 벡터
네트워크 트래픽을 조작해 conntrack 헬퍼 경로를 트리거하여 해제된 메모리를 재사용하도록 유도
🛡️ 대응 방법
Linux 커널을 벤더가 제공하는 최신 보안 패치 버전으로 업데이트 후 재부팅
🔧 검증 코드
출력된 커널 버전을 배포판 보안 권고문의 패치된 버전과 비교하고, 해당 버전 이상이면 수정된 것입니다.