🇰🇷 한글 설명
Linux 커널의 ath9k_htc 드라이버에서 TX 데이터 집계 시 누적 바이트 길이를 제한하지 않아 발생하는 버퍼 오버플로 취약점입니다. 대용량 프레임이 전송될 경우 할당된 버퍼 크기를 초과하여 메모리에 데이터를 쓰게 되어 시스템 불안정이나 보안 문제를 야기할 수 있습니다.
💡 쉬운 설명
와이파이 데이터를 한데 모아 보낼 때, 정해진 바구니 크기보다 더 많은 양의 데이터를 억지로 밀어 넣어 메모리가 넘치는 문제입니다. 이로 인해 컴퓨터 시스템이 멈추거나 예상치 못한 오류가 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
wifi: ath9k_htc: bound TX aggregation to MAX_TX_BUF_SIZE
__hif_usb_tx() dequeues up to MAX_TX_AGGR_NUM (20) frames into a
single tx_buf of MAX_TX_BUF_SIZE (32768) bytes, limiting the batch
by record count but never by cumulative byte length.
With large frames (MTU 2304), 20 aggregated frames of 2292 bytes
each exceed the allocation (20 * 2296 = 45920 bytes), so the
memcpy() in the loop writes up to 13152 bytes past tx_buf->buf
before usb_submit_urb().
Peek the queue head and stop before copying any record that would
cross MAX_TX_BUF_SIZE, then dispatch the current batch. Leftover
skbs remain queued and are drained on the next URB completion.
The byte bound changes the loop's exit semantics: it can now exit
before i == tx_skb_cnt - 1. Stock only finalized tx_buf->len on
that last index (len += offset), so an early break would submit a
URB holding only the last record's length while every dequeued skb
is freed on completion, silently dropping frames. Make tx_buf->len
a running total and advance tx_buf->offset per record instead; the
stride round_up(nskb->len + 4, 4) is identical to the stock stride
when the loop runs to completion.
Tested on hardware with an MTU 2304 flood: the loop stops at
record 15 (len = 32144, offset = 32144, within 32768), no
oversized URB is submitted, and MTU 1500 pings pass 20/20.
📍 영향받는 시스템
Linux kernel (ath9k_htc driver)
⚔️ 공격 벡터
특수하게 조작된 대용량 MTU 프레임을 전송하여 메모리 오버플로 유도
🛡️ 대응 방법
Linux 커널을 최신 보안 패치가 적용된 버전으로 업데이트
🔧 검증 코드
출력된 커널 버전이 해당 취약점이 수정된 패치 버전 이후인지 확인