🇰🇷 한글 설명
Linux 커널의 Open vSwitch conntrack 모듈에서, 복제된(clone) skb가 확인되지 않은(unconfirmed) 동일한 ct 엔트리를 공유한 상태로 커밋될 때 확장(extension) 포인터가 기대값(expectation) 리스트에서 깨져 해제 후 사용(UAF)이 발생할 수 있는 문제입니다. 패치는 커밋 시 공유된 미확인 ct 엔트리를 초기화하여 이러한 수정을 방지합니다.
💡 쉬운 설명
네트워크 패킷 추적 기능에서 같은 데이터 사본이 동시에 처리되면 메모리 정보가 꼬여 이미 해제된 메모리를 다시 사용하게 됩니다. 이를 악용하면 시스템이 충돌하거나 임의 코드가 실행될 가능성이 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: openvswitch: conntrack: avoid modifying shared unconfirmed ct entry
In a case where skb with an unconfirmed ct entry gets cloned, we may
end up committing both but with different sets of extensions.
The series of events:
1. The first clone wants to commit and runs the helpers wiring up
the extension pointer into the expectation list.
2. Then it looses the confirmation keeping the entry unconfirmed.
3. Second clone now wants to commit labels and adds the new extension
for that breaking the pointer in the expectation list causing
UAF on the destruction path later.
While this is possible to trigger, there should be no practical
network pipeline where committing both clones without modifications
into the same zone is needed. So, let's just reset the entry in case
for some reason we got an skb with a shared one during commit. This
doesn't affect any known use cases, but avoids any potential problems
with sharing and modification of the unconfirmed ct entry.
The fixes tag points to the introduction of helpers, since that's the
main UAF trigger for the sharing.
📍 영향받는 시스템
패치 이전의 Linux 커널 (Open vSwitch conntrack 기능을 사용하는 버전, 정확한 범위는 해당 수정 커밋의 Fixes 태그 기준)
⚔️ 공격 벡터
Open vSwitch conntrack을 사용하는 환경에서 공격자가 특정 패킷 흐름을 조작해 확인되지 않은 ct 엔트리가 복제·커밋되도록 유도하여 UAF를 유발
🛡️ 대응 방법
배포판 제공 최신 커널로 업데이트하거나 해당 upstream 패치가 포함된 커널로 재부팅
🔧 검증 코드
출력된 커널 버전을 배포판 보안 공지 또는 upstream 패치 적용 여부와 대조하여, 패치가 포함된 버전 이상이면 수정된 것이고 이전 버전이면 취약할 수 있습니다.