🇰🇷 한글 설명
Linux 커널의 Intel ICE 드라이버에서 representor 해제 시 metadata_dst 참조 카운트를 무시하고 직접 메모리를 해제하는 문제가 수정되었습니다. 큐에 대기 중인 패킷이 남아 있을 때 해당 객체가 먼저 해제되어 발생할 수 있는 use-after-free 상황을 막기 위해 dst_release()를 사용하도록 변경되었습니다.
💡 쉬운 설명
네트워크 가상 포트를 끌 때, 아직 처리 중인 데이터가 남아 있는데도 그 정보를 먼저 지워버리는 문제가 있었습니다. 이제는 사용이 끝난 뒤에만 안전하게 정리되도록 바뀌었습니다.
🇺🇸 원문 (English)
In the Linux kernel, the following vulnerability has been resolved:
ice: fix metadata_dst refcount handling on representor teardown
ice_eswitch_release_repr() uses metadata_dst_free() to release the
representor's metadata_dst. metadata_dst_free() directly frees the
underlying memory without checking the dst_entry refcount.
When ice_eswitch_port_start_xmit() processes a packet, it takes a
reference via dst_hold() and attaches the metadata_dst to the skb.
If the representor is torn down while packets are still queued on
the lower device (e.g. in a qdisc), the metadata_dst is freed while
references are still held.
Use dst_release() instead, which correctly decrements the refcount
and only frees the object when all references are dropped. The dst
subsystem already handles metadata_dst cleanup in dst_destroy() when
DST_METADATA is set.
Other drivers sharing this pattern (nfp, airoha, bnxt) already use
dst_release() for their metadata_dst lifecycle.
📍 영향받는 시스템
Linux 커널 중 ICE 드라이버(Intel 이더넷 어댑터) 및 switchdev representor를 사용하는 수정 이전 버전
⚔️ 공격 벡터
로컬 권한을 가진 공격자가 representor 해제 시점과 패킷 전송 타이밍을 맞춰 메모리 손상이나 커널 크래시를 유발할 수 있는 것으로 보이나, 공개된 정보가 제한적이라 구체적 악용 방법은 확인되지 않았습니다.
🛡️ 대응 방법
패치가 포함된 최신 Linux 커널로 업데이트하거나 배포판 보안 업데이트를 적용하고 재부팅하세요.
🔧 검증 코드
커널 버전이 패치가 배포된 상위 안정 버전 이상인지 배포판 보안 공지와 비교하여 확인하고, ice 모듈이 없으면 해당 취약점 영향을 받지 않습니다.
uname -r && modinfo ice 2>/dev/null | grep -E '^(version|srcversion)'