보안 권고문

GOHSTRACE 취약점 보안 업데이트 권고 (CVE-2024-2193)

등록일: 2024년 3월 22일

개요

주요 하드웨어 및 운영체제에서 발생하는 취약점을 해결하는 업데이트가 제공되었습니다. 해당하는 버전 사용자는 최신 버전으로 업데이트하시기 바랍니다.

대상 제품

해당 취약점의 근본적인 원인은 CPU의 추측 실행 메커니즘과 조건 분기 예측에 있기 때문에, 원칙적으로 Spectre V1과 관련된 추측 실행을 지원하는 최신 CPU 아키텍처(x86, ARM, RISC-V 등)와 운영체제 및 Hypervisor에 영향을 미칠 수 있음.

해결된 취약점

Spectre V1과 관련된 추측 실행 기능을 지원하는 현대 CPU 아키텍처는 SRC(Speculative Race Conditions, 추측적 경쟁 조건) 취약점(GhostRace, CVE-2024-2193)에 영향을 받을 수 있습니다. 이 취약점은 추측 실행 과정에서 모든 일반적인 동기화 프리미티브가 마이크로아키텍처 수준에서 우회될 수 있음을 의미합니다. 결과적으로, 아키텍처적으로 경쟁 조건이 없는 것으로 간주되는 중요 지역들이 추측 실행을 통해 잠재적인 보안 위험에 노출될 수 있습니다.

구체적으로, 커널 등에서 널리 사용되는 동기화 메커니즘인 뮤텍스와 스핀락 등이 이 취약점의 영향을 받습니다. 이러한 동기화 기본 요소들은 추측 실행 경로에서 사실상 무효화될 수 있어, 공격자는 피해자 소프트웨어의 모든 중요 지역을 동기화 없이 추측적으로 실행할 수 있으며, 이는 심각한 보안 문제로 이어질 수 있습니다. 개념 증명(PoC) 과정에서는 Speculative Concurrent Use-After-Free (SCUAF) 공격을 통해, 커널 메모리에서 초당 12KB의 데이터를 유출할 수 있음을 입증하였습니다. (참고사이트 [2], [3], [4], [5])

취약점 패치

해당 취약점은 추측 실행을 지원하는 최신 CPU 아키텍처(x86, ARM, RISC-V 등)와 운영체제 및 Hypervisor에 영향을 미칩니다.
일부 벤더에서 최신 업데이트를 통해 취약점 패치가 제공합니다.. 참고 사이트의 안내에 따라 최신 취약점 패치 버전으로 업데이트 하시기 바랍니다.

AMD CPU

Spectre-v1과 같은 조건 분기 예측 오용에 대응하기 위한 기존의 방어 기법이 SRC에도 적용될 수 있음을 확인했습니다.
참고사이트 [7], [8]을 바탕으로 업데이트 하시기 바랍니다.

Xen