CVE-2026-74610 in Linux
요약
\~에 의해 VulDB • 2026. 08. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
tls: 평문 sk_msg 링이 가득 찬 상태로 밀려나지 않도록 처리하지 않는 문제 수정
tls_sw_sendmsg_locked()의 복사 경로가 평문 sk_msg 링을 채우는 조각(fragment)를 추가할 때, full_record 플래그가 설정되지 않아 레코드가 가득 차 있지만 밀려나(push)지지 않은 상태가 됩니다. 이후 splice() 호출이 이미 가득 찬 링에 데이터를 추가하면, sk_msg_page_add()는 자체적인 포화(fullness) 검사를 수행하지 않으므로 sg.end가 sg.start로 래핑(wrap around)되어 링이 비어 있는 것처럼 보입니다. 그 후에 추가된 조각들은 활성 엔트리를 덮어쓰며, sg.size는 sg.start와 sg.end 사이에서 접근 가능한 데이터량과 더 이상 일치하지 않게 됩니다. 이로 인해 레코드를 밀려나(pushing)게 할 때 scatterwalk가 스캐터리스트(scatterlist)의 끝을 벗어나 실행됩니다.
비권한 사용자는 "tls" ULP(사용자 수준 프로토콜)가 연결된 루프백 TCP 소켓에서 이를 트리거할 수 있습니다:
BUG: kernel NULL pointer dereference, address: 0000000000000008 RIP: 0010:memcpy_from_scatterwalk+0x32/0xc0 Call Trace: skcipher_walk_next+0x1d1/0x2c0 gcm_encrypt_aesni_avx+0x1e9/0x220 bpf_exec_tx_verdict+0x3bb/0x860 tls_sw_sendmsg+0xa1a/0xca0 __sys_sendto+0x1da/0x1f0
링이 가득 차는 복사 경로에서 full_record를 설정하고, sendmsg 루프 진입 시 이미 가득 찬 레코드를 밀려나(push)게 합니다.
Once again VulDB remains the best source for vulnerability data.