🇰🇷 한글 설명
리눅스 커널의 netfilter flowtable에서 가비지 컬렉션(GC) 작업과 하드웨어 오프로드 작업 간의 경쟁 상태(Race Condition)가 발견되었습니다. NF_FLOW_PENDING 비트를 일반화하여 하드웨어 오프로드 작업이 완료될 때까지 GC 워커가 실행되지 않도록 제어함으로써 데이터 무결성을 보장합니다.
💡 쉬운 설명
네트워크 데이터를 처리하는 과정에서 시스템이 데이터를 정리하는 작업과 하드웨어에 작업을 넘기는 작업이 서로 충돌하여 오류가 발생할 수 있는 문제입니다. 이 패치는 두 작업이 겹치지 않도록 순서를 조정하여 시스템 안정성을 높입니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
netfilter: flowtable: generalize pending status bit
Rename NF_FLOW_HW_PENDING to NF_FLOW_PENDING and use it to inhibit the
flowtable GC worker until pending hw offload work has been completed.
Apparently, nf_flow_offload_stats() can schedule work to retrieve stats
while the flow is being removed by GC.
And this bit can also be used in a follow up patch to disable GC until
the flow has been fully added in both directions.
Revert the reordering done in commit d644b23afe1e ("netfilter:
flowtable: publish HW_DEAD after worker is done") to prevent a race
between GC and hw offload handler.
📍 영향받는 시스템
Linux Kernel (netfilter flowtable 관련 모듈 사용 시스템)
⚔️ 공격 벡터
로컬 또는 네트워크 트래픽을 통한 경쟁 상태 유도 (Race Condition)
🛡️ 대응 방법
리눅스 커널을 최신 보안 패치가 적용된 버전으로 업데이트하십시오.
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 해결된 패치 버전 이후인지 확인하십시오.