오늘은 엑시노스 SoC의 설계와 개발은 삼성 S.LSI 사업부에서, 생산은 파운드리 사업부에서 담당하고 있으며 미국, 중국 등 법적 문제가 복잡한 일부 국가에서는 퀄컴의 퀄컴 스냅드래곤이 고정적으로 사용되고 삼성 스마트폰과 태블릿에 사용되고 있습니다. CVE-2024-44068은 삼성 m2m1shot_scaler0 장치 드라이버 페이지 use-after-free입니다. 일단 개인적으로 전문가가 아니니까? 오류가 있을 수가 있습니다.
영향을 받는 버전: Samsung Exynos(9820,9825,980,990,850 W920),SMR-2024년 10월 이전
일단 공개된 정보를 가지고만 진행을 하겠습니다.
Use-After-Free 취약점
Heap 영역에서 할당된 (malloc) 공간을 free로 영역을 해제하고, 메모리를 다시 할당 시 같은 공간을 재사용 하면서 생기는 취약점 문제임
코드
#define mk_lv2ent_pfnmap(pent) (*(pent) |= (1 << 5)) /* unused field */
static int sysmmu_map_pte(struct mm_struct *mm,
pmd_t *pmd, unsigned long addr, unsigned long end,
struct exynos_iommu_domain *domain, sysmmu_iova_t iova, int prot)
{
pte_t *pte;
int ret = 0;
spinlock_t *ptl;
bool write = !!(prot & IOMMU_WRITE);
bool pfnmap = !!(prot & IOMMU_PFNMAP); /**
**/ If vma->vm_flags & VM_PFNMAP is true, exynos_iovmm_map_userptr appends the IOMMU_PFNMAP flag to prot.
bool shareable = !!(prot & IOMMU_CACHE);
unsigned int fault_flag = write ? FAULT_FLAG_WRITE : 0;
sysmmu_pte_t *ent, *ent_beg;
pte = pte_alloc_map_lock(mm, pmd, addr, &ptl);
if (!pte)
return -ENOMEM;
ent = alloc_lv2entry_userptr(domain, iova);
if (IS_ERR(ent)) {
ret = PTR_ERR(ent);
goto err;
}
ent_beg = ent;
do {
if (pte_none(*pte) || !pte_present(*pte) ||
(write && !pte_write(*pte))) {
int cnt = 0;
int maxcnt = 1;
if (pfnmap) {
ret = -EFAULT;
goto err;
}
while (cnt++ < maxcnt) {
spin_unlock(ptl);
/* find_vma() always successes */
ret = handle_mm_fault(find_vma(mm, addr),
addr, fault_flag);
spin_lock(ptl);
if (ret & VM_FAULT_ERROR) {
ret = mm_fault_translate(ret);
goto err;
} else {
ret = 0;
}
....
}
}
BUG_ON(!lv2ent_fault(ent));
*ent = mk_lv2ent_spage(pte_pfn(*pte) << PAGE_SHIFT);
if (!pfnmap)
get_page(pte_page(*pte));
else
mk_lv2ent_pfnmap(ent); /** **/ For PFNMAP pages, the page reference count is not elevated.
....
} while (pte++, addr += PAGE_SIZE, addr != end);
pgtable_flush(ent_beg, ent);
err:
pte_unmap_unlock(pte - 1, ptl);
return ret;
}
취약점 코드 분석
sysmmu_map_pte 함수에서 설명된 취약점들은 해당 함수 내의 로직
1. PFNMAP 플래그와 참조 카운트 문제
if (!pfnmap)
get_page(pte_page(*pte));
else
mk_lv2ent_pfnmap(ent); //
취약점: PFNMAP 플래그가 설정된 경우 페이지 참조 카운트를 올리지 않음
이 때문에 Use-After-Free(UAF) 문제 발생 페이지가 해제되고 접근하게 되면 악의적인 공격자가 이를 악용해 커널 메모리 손상을 유도할 수 있음
2. 경쟁 조건(Race Condition)
pte = pte_alloc_map_lock(mm, pmd, addr, &ptl);
spin_unlock(ptl);
ret = handle_mm_fault(find_vma(mm, addr), addr, fault_flag);
spin_lock(ptl);
취약점: 페이지 테이블 항목(PTE)을 처리하는 동안 다른 스레드나 프로세스가 같은 주소에 접근하면 경쟁 조건 이 발생할 수 있음
이로 말미암아 메모리 손상 등이 발생
3. 무한 루프에 의한 DoS(서비스 거부) 위험
while (cnt++ < maxcnt) {
...
ret = handle_mm_fault(...);
...
}
취약점:handle_mm_fault() 가 반복 호출되며 페이지 결함이 지속할 때 루프가 빠져나오지 못할 수 있음
공격자는 이를 악용해 DoS(서비스 거부) 공격을 수행할 수 있음
4. BUG_ON()에 의한 커널 패닉 위험
BUG_ON(!lv2ent_fault(ent));
취약점:BUG_ON() 호출로 인해 예상치 못한 상황에서 커널 패닉이 발생할 가능성
이는 권한이 낮은 사용자가 시스템을 강제 종료시키는 공격에 악용
5. 페이지 결함 처리 중 메모리 오염 위험
if (pte_none(*pte) || !pte_present(*pte) || (write && !pte_write(*pte))) {
ret = handle_mm_fault(...);
}
취약점: 페이지 결함을 처리하는 도중 스핀락 관리가 부적절하게 이루어지면 메모리가 오염될 수 있음
이 때문에 비정상적인 동작이나 시스템 충돌이 발생할 수 있음
해결 방법
Exynos 9820,9825,980,990,850,W920 버전,SMR-SEP-2024
최신 업데이트를 통해 취약점 패치를 진행하시면 됩니다.
