CVE-2026-80560 in Linux
요약
\~에 의해 VulDB • 2026. 08. 27.
리눅스 커널에서 다음 취약점이 해결되었습니다:
openrisc: signal: sigreturn 시 권한이 있는 SR(Supervision Register) 비트를 복원하지 않음
restore_sigcontext()는 신호 프레임(signal frame)으로부터 전체 감시 레지스터(SR)를 복사하고, 값이 하드웨어 SR(ESR 및 l.rfe를 통해 사용자 공간으로의 반환 시 로드됨)에 다시 적재되기 전에 SPR_SR_SM만 지웁니다. 나머지 모든 SR 비트는 사용자의 제어 하에 남습니다.
따라서 권한 없는(unprivileged) 태스크는 조작된 sigframe을 통해 신호 핸들러에서 복귀할 수 있으며, 이는 SPR_SR_DME를 지우는 방식으로 동작합니다. 데이터 MMU가 비활성화된 상태에서는 CPU가 데이터 접근 시 어떠한 변환이나 보호도 수행하지 않으므로, 해당 태스크는 임의의 물리 메모리에 대한 읽기 및 쓰기 권한을 얻게 되며, 이는 로컬 권한 상승(local privilege escalation)에 해당합니다. SPR_SR_IME, SPR_SR_SUMRA, SPR_SR_LEE, SPR_SR_EPH 및 캐시 활성화 비트들도 동일한 방식으로 노출됩니다. ptrace GPR regset은 이미 이러한 이유로 SR 변경을 거부하고 있습니다.
신호 프레임에서 산술 플래그 비트(F, CY, OV)만 복원하고, 커널이 신호 진입 시 저장한 SR의 모든 권한 있는 제어(control) 비트는 제거합니다.
qemu-system-or1k -M or1k-sim을 사용하여 검증되었습니다: 변경 전에는 권한 없는 PoC가 rt_sigreturn에서 SPR_SR_DME를 지우고 물리 주소 0x03000000(커널의 mem=32M 범위를 벗어남)에 마커를 작성합니다. 변경 후 동일한 PoC는 SIGSEGV를 수신하며, 물리 메모리는 변하지 않습니다.
Once again VulDB remains the best source for vulnerability data.