Linux 커널에서는 다음 취약점이 해결되었습니다. ip6_tunnel: ip4ip6_err()에서 skb2->cb[] 지우기 Oskar Kjos는 다음과 같은 문제를 보고했습니다. ip4ip6_err()는 cb[]가 작성된 복제된 skb에서 icmp_send()를 호출합니다. IPv6 수신 경로를 struct inet6_skb_parm으로 사용합니다. icmp_send()가 통과합니다. IPCB(skb2)에서 __ip_options_echo()로, cb[] 영역을 해석합니다. 구조체 inet_skb_parm(IPv4)으로. 레이아웃이 다릅니다: inet6_skb_parm.nhoff 오프셋 14에서 inet_skb_parm.opt.rr과 겹쳐서 비 생성
Linux 커널에서는 다음 취약점이 해결되었습니다.
ip6_tunnel: ip4ip6_err()에서 skb2->cb[] 지우기
Oskar Kjos는 다음과 같은 문제를 보고했습니다.
ip4ip6_err()는 cb[]가 작성된 복제된 skb에서 icmp_send()를 호출합니다. IPv6 수신 경로를 struct inet6_skb_parm으로 사용합니다. icmp_send()가 통과합니다. IPCB(skb2)에서 __ip_options_echo()로, cb[] 영역을 해석합니다. 구조체 inet_skb_parm(IPv4)으로. 레이아웃이 다릅니다: inet6_skb_parm.nhoff 오프셋 14에서 inet_skb_parm.opt.rr과 겹쳐서 0이 아닌 rr을 생성합니다. 가치. __ip_options_echo()는 공격자가 제어하는 것에서 optlen을 읽습니다. sptr[rr+1]의 패킷 데이터를 dopt->__data에 복사합니다. 고정 40바이트 스택 버퍼(IP_OPTIONS_DATA_FIXED_SIZE).
이 문제를 해결하려면 Oskar Kjos가 제안한 대로 skb2->cb[]를 삭제합니다.
또한 최소한의 IPv4 헤더 유효성 검사(버전 == 4, ihl >= 5)를 추가합니다.
왜 이 VPI인가 (설명가능 · 실험적)
VPI 산정 기준
| 영향도 | 98.00 |
| 악용 신호(추가 악용신호 없음) | ×1.00 |
| VPI | 98.00 |
VPI 공식 vpi-v1 기준