🇰🇷 한글 설명
Linux 커널 team 드라이버에서 큐 오버라이드 헬퍼가 dev_queue_xmit() 실패 후에도 이미 해제된 skb를 다시 사용하는 문제가 수정되었습니다. 오버라이드 포트의 qdisc가 패킷을 드롭하면 freed skb가 다른 포트나 모드 전송 연산에 재사용되어 KASAN 슬랩 use-after-free가 발생할 수 있습니다. 패치는 skb 소유권 이전 결정을 전송 결과와 분리하고, 첫 번째 오버라이드 포트에만 skb를 넘긴 뒤 중단합니다.
💡 쉬운 설명
네트워크 패킷을 보내는 과정에서 이미 버려진 데이터를 다시 사용해 시스템 메모리가 손상될 수 있는 문제입니다. 이로 인해 시스템이 불안정해지거나 커널 패닉이 발생할 수 있습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
net: team: stop reusing skb after queue override
A nonzero dev_queue_xmit() result does not return ownership of the skb.
When an override port's qdisc drops it, the queue override helper used to
try another port or the mode transmit op with the freed skb.
Return the handoff decision separately from transmit success. Select only
the first override port under RCU and stop after handing it the skb,
regardless of the lower transmit result. Keep the existing success and
drop accounting.
BUG: KASAN: slab-use-after-free in sk_skb_reason_drop
Write of size 4 by task poc/5040
sk_skb_reason_drop (net/core/skbuff.c:1240)
dev_kfree_skb_any_reason (net/core/dev.c:3470)
ab_transmit (drivers/net/team/team_mode_activebackup.c:49)
team_xmit (drivers/net/team/team_core.c:1849)
__dev_direct_xmit (net/core/dev.c:4934)
Freed by task 5040:
__tcf_kfree_skb_list (net/sched/sch_generic.c:43)
__dev_queue_xmit (net/core/dev.c:4831)
team_xmit (drivers/net/team/team_core.c:1846)
Kernel panic - not syncing: KASAN: panic_on_warn set ...
📍 영향받는 시스템
team 드라이버를 사용하는 Linux 커널 (패치 이전 버전, 정확한 영향 버전은 확인 필요)
⚔️ 공격 벡터
로컬 사용자가 team 본딩 인터페이스의 큐 오버라이드 경로를 유발하는 트래픽을 생성하여 use-after-free 상태를 유도
🛡️ 대응 방법
커널을 해당 수정 사항이 포함된 최신 버전으로 업데이트하고 재부팅
🔧 검증 코드
출력된 커널 버전을 배포판 보안 공지 또는 Linux 커널 저장소의 수정 커밋과 대조하여 패치 포함 여부를 확인하며, lsmod | grep team 으로 team 모듈 사용 여부도 함께 점검