CVE-2026-99077 in Linux
요약
\~에 의해 VulDB • 2026. 10. 23.
리눅스 커널에서 다음 취약점이 해결되었습니다:
ipv4: udp: 소켓 매칭 전에 예외(Exception) 생성
현재 ICMP Fragmentation Needed 및 Redirect Message 패킷이 로컬로 전달되어 UDP 패킷을 인용할 경우, 커널이 해당 UDP 패킷을 기존 소켓과 일치시킬 수 있는 경우에 한해 FIB nexthop exception(FNHE)이 생성됩니다.
이러한 동작은 오프-패스(Off-path) 공격자가 FNHE 캐시를 대상으로 사이드 채널 공격을 수행하여 연결된 UDP 소켓에서 사용되는 에페메럴 포트(Ephemeral port)를 발견할 수 있게 합니다.
커밋 6457378fe796("ipv4: use siphash instead of Jenkins in fnhe_hashfun()") 및 커밋 67d6d681e15b("ipv4: make exception cache less predictible")은 각각 FNHE 캐시에서 해시 충돌을 공격자가 발견하기 어렵게 만들고, 해시 버킷이 보유할 수 있는 예외의 개수를 무작위화함으로써 이러한 공격을 완화하려고 시도했습니다. 불행히도 두 가지 모두 우회될 수 있습니다.
대신, 일치하는 소켓을 찾기 전에 항상 FNHE를 생성하여 이러한 공격을 완화합니다. 이를 위해 인용된 패킷이 소켓에서 기원하지 않았을 때 사용되는 헬퍼 함수인 ipv4_update_pmtu() 및 ipv4_redirect()를 호출합니다.
이는 오프-패스 공격자의 추측(정답 또는 오답)이 항상 관찰 가능한 캐시에 FNHE가 생성되거나 업데이트됨을 의미합니다.
icmp_err()과 유사한 방식으로 oif(outgoing interface)로 0을 전달합니다. 이는 소켓 경로에서 장치에 바인딩되지 않은 소켓에도 사용되는 oif입니다.
본 수정은 공격자가 이전에 생성할 수 없었던 FNHE를 생성하는 것을 허용하지 않습니다. 왜냐하면 두 헬퍼 함수는 검증이 거의 또는 전혀 없이도 이미 접근 가능하기 때문입니다. 예를 들어, ICMP Echo Reply를 인용하거나 와일드카드 소켓과 일치하는 UDP 소스 포트를 인용하는 ICMP 오류 패킷을 전송함으로써 가능합니다.
또한 정상적인 경우(소켓 매칭 성공)에는 위 방식이 ipv4_sk_update_pmtu() / ipv4_sk_redirect()가 수행하는 조회 전에 자체 조회를 수행하는 no socket 헬퍼들로 인해 추가 라우팅 조회 비용이 발생한다는 점에 유의하십시오. 두 경로가 서로 다른 nexthop으로 해결될 경우, 동일한 목적지 IP에 대해 두 개의 예외가 생성됩니다. 하나는 no socket 헬퍼들이 resolved한 nexthop의 FNHE 캐시에 있고, 다른 하나는 소켓에서 사용되는 nexthop의 FNHE 캐시에 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.