CVE-2026-99123 in Linux
요약
\~에 의해 VulDB • 2026. 10. 29.
리눅스 커널에서 다음 취약점이 해결되었습니다:
vsock/virtio: 연결된 소켓에 대한 패킷 소스를 검증함
virtio_transport_recv_pkt()는 먼저 전체 소스와 목적지 튜플로, 그다음 바인드 테이블에서 목적지만으로 소켓을 조회합니다. 이 폴백(logic)은 리스닝 및 커넥팅 소켓에 필요하지만, connect() 후에도 소켓이 바인드 테이블에 남아 있으므로 비리스닝(non-listening) 소켓도 반환할 수 있습니다.
폴백 로직에서는 소스 주소를 검증하지 않습니다. TCP_SYN_SENT 상태에서 관련 없는 소스로부터의 RESPONSE는 피해자 소켓을 TCP_ESTABLISHED 상태로 전환시키지만, 해당 소트에 저장된 원격 주소는 변경되지 않은 채로 유지됩니다. 이후 그 소스로부터 전송되는 RW 패킷은 동일한 목적지 전용 폴백 경로를 통해 전달됩니다.
이 문제는 서로 다른 UID를 가진 capability가 없는 프로세스에서 재현되었습니다. 공격자는 비권한 AF_VSOCK sock_diag를 통해 대상 튜플을 발견하고, 피해자 소켓으로 공격자가 선택한 16바이트의 데이터를 읽게 했습니다; 의도된 피어 측 소트는 이 16바이트 중 0바이트만 읽었습니다.
비리스닝 소트에 저장된 피어와 비교하여 전송 계층, 포트 및 CID(CID: Connection Identifier)를 검증하기 위해 vsock_check_source() 함수를 추가합니다. 로컬 트랜스포트는 예외로 처리되는데, 이는 VMADDR_CID_LOCAL을 소스로 사용하여 내부적으로 생성되는 패킷(예: CID 별칭 사용 연결 포함)이 해당 경로를 통과하기 때문입니다.
virtio 수신 경로에서 lock_sock() 호출 후 이 헬퍼 함수를 사용합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.