CVE-2026-64047 in Linux
요약
\~에 의해 VulDB • 2026. 07. 20.
리눅스 커널에서 다음 취약점이 해결되었습니다.
net: tls: 래핑된 sk_msg 링에 대한 sg_chain 엔트리 카운트에서의 오프바이원(off-by-one) 오류 수정
sk_msg 산점표(sg) 링이 래핑되는 경우(즉, sg.end < sg.start), tls_push_record()는 sg_chain()을 사용하여 링의 꼬리 부분을 머리에 연결합니다. 이를 위해 sg 배열에 추가 엔트리가 예약됩니다:
struct sk_msg_sg {
[...]
/* 추가된 두 요소: * 1) 목록이 분할될 때(예: end < start) 앞부분과 섹션을 체이닝하는 데 사용됩니다. 암호화 API는 이 체이닝을 요구합니다; * 2) 메시지 이후의 꼬리 SG 엔트리를 체이닝하기 위한 것입니다. */ struct scatterlist data[MAX_MSG_FRAGS + 2];
현재 코드는 링 크기로 MAX_SKB_FRAGS + 1을 사용합니다:
sg_chain(&msg_pl->sg.data[msg_pl->sg.start],
MAX_SKB_FRAGS - msg_pl->sg.start + 1, msg_pl->sg.data);
이는 체인 포인터를 다음과 같은 위치에 배치합니다.
sg_chain(data[start], (MAX_SKB_FRAGS - msg_start + 1) .. =
&data[start] + (MAX_SKB_FRAGS - msg_start + 1) - 1 =
data[start + (MAX_SKB_FRAGS - start + 1) - 1] =
data[MAX_SKB_FRAGS]
이는 실제 마지막 엔트리가 아닙니다. 이는 Fixes로 지정된 커밋이 commit 031097d9e079("bpf: sk_msg, zap ingress queue on psock down") 근처에 도착하면서 발생한 "레이스(race)" 상태 때문일 가능성이 높습니다.
ARRAY_SIZE를 사용하고 data[start] / - start를 제거합니다(Sabrina의 제안대로).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.