CVE-2026-74598 in Linux
요약
\~에 의해 VulDB • 2026. 08. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
ipv6: 라우트 정보 옵션 길이 검증 수정
rt6_route_rcv()는 라우트 정보 옵션(RFC 4191)의 길이를 프리픽스 길이와 비교하여 유효성을 검사하지만, 두 가지 확인 모두 오프 바이 원(off-by-one) 오류가 있습니다.
rinfo->length는 ND(neighbor discovery) 옵션의 길이를 8옥텟 단위로 나타낸 것으로, 8바이트 옵션 헤더를 *포함*합니다. 따라서 N 바이트의 프리픽스를 운반하는 옵션은 길이 == 1 + N/8이 됩니다. RFC 4191 섹션 2.3에 따르면 프리픽스 길이가 64보다 클 경우 길이는 3이어야 하며, 0보다 클 경우 2 또는 3이어야 합니다. 그러나 코드는 각각 길이 >= 2와 길이 >= 1을 허용합니다.
ipv6_addr_prefix()는 이후 rinfo->prefix에서 prefix_len/8 바이트를 복사하므로, (prefix_len=128, length=2) 또는 (prefix_len=64, length=1)인 라우터 광고(Router Advertisement)가 발생하면 커널이 옵션 끝보다 최대 8바이트까지 읽게 됩니다. 이러한 바이트들은 설치되는 경로의 프리픽스에 포함되므로 사용자 공간(userspace)에서 볼 수 있습니다:
# Route Information 옵션(prefix_len=128, length=2)을 포함한 RA # 뒤에 소스 링크 레이어 주소 옵션(01 01 de ad be ef ca fe)이 옴 $ ip -6 route show 2001:db8:dead:beef:101:dead:beef:cafe via fe80::1234 dev veth0 proto ra ^^^^^^^^^^^^^^^^^^ 다음 옵션, 경계 밖에서 읽힘
라우트 정보 옵션이 패킷의 마지막 옵션인 경우, 해당 8바이트는 skb tail room에서 가져옵니다.
RFC 4191에서 허용하지 않는 옵션 길이를 거부합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.