All Products
Search

This Product

    :Cakupan Dampak dan Status Perbaikan CVE-2024-57843 pada Citra Resmi ECS

    Document Center

    :Cakupan Dampak dan Status Perbaikan CVE-2024-57843 pada Citra Resmi ECS

    Last Updated:Aug 25, 2026

    CVE-2024-57843 adalah kerentanan overflow memori pada driver virtio-net kernel Linux yang dapat diam-diam merusak memori pada instans yang sedang berjalan. Topik ini menjelaskan citra Linux resmi Alibaba Cloud ECS yang terdampak, cara menentukan apakah suatu instans terdampak, serta langkah-langkah untuk memperbaiki instans tersebut.

    Ikhtisar kerentanan

    CVE-2024-57843 merupakan cacat overflow memori pada driver virtio-net kernel Linux yang terjadi saat driver mengisi buffer RX mergeable. Cacat ini diperkenalkan oleh commit upstream 295525e29a5b (virtio_net: merge dma operations when filling mergeable buffers) dan telah diperbaiki melalui commit 6aacd1484468 (virtio-net: fix overflow inside virtnet_rq_alloc).

    Red Hat menilai kerentanan ini sebagai Moderate, sedangkan Ubuntu menilainya sebagai Medium.

    Gejala

    Instans ECS yang terdampak mungkin menunjukkan gejala berikut:

    • Instans crash secara tak terduga — Instans mengalami crash tanpa peringatan (kernel panic), dan log dmesg berisi entri terkait general protection fault atau pagealloc: memory corruption.

    • Kegagalan transfer file besar — Transfer file berukuran sekitar 100 MB atau lebih melalui scp terputus.

    • Kerusakan diam-diam pada struktur data kernel — Halaman page table, objek slab, struktur buffer_head, dan data serupa lainnya ditimpa secara tak terduga, sehingga menyebabkan perilaku sistem yang tidak dapat diprediksi.

    Cakupan yang terdampak

    Tabel berikut mencantumkan citra Linux resmi ECS yang telah dievaluasi terhadap CVE-2024-57843, alasan masing-masing distribusi terdampak, serta status perbaikan citra ECS terkait.

    DistributionAffected versionCauseFix status of ECS images
    Ubuntu24.04 LTSTerdampak sejak rilis pertama karena baseline kernel 6.8 mencakup patch yang memperkenalkan cacat tersebut, yang telah di-backport ke 6.6. Diperbaiki dalam 6.8.0-58.60.Citra yang dirilis pada Mei 2025 telah diperbaiki (6.8.0-60-generic).
    CentOS Stream 99Mengikuti RHEL upstream. Diperbaiki dalam 5.14.0-570.12.1.el9_6.Citra yang telah dipatch dan dirilis pada Maret 2025 telah diperbaiki.
    Fedora40 (EOL)Diperkenalkan dalam kernel-6.6.2-201.fc40. Diperbaiki dalam 6.12.5-200.Telah mencapai EOL. Tidak ada pembaruan yang direncanakan.

    Periksa apakah instans Anda terdampak

    Versi kernel yang sedang berjalan menentukan apakah suatu instans ECS mengandung cacat tersebut. Jalankan perintah berikut pada instans untuk mendapatkan versi kernel yang sedang berjalan:

    uname -r

    Bandingkan output dengan versi perbaikan yang tercantum untuk distribusi Anda dalam tabel cakupan yang terdampak:

    • Lebih awal dari versi perbaikan — Instans terdampak. Lakukan upgrade kernel dan restart instans.

    • Versi perbaikan atau lebih baru — Kernel yang sedang berjalan telah mencakup perbaikan, sehingga tidak diperlukan tindakan lebih lanjut.

    Kondisi pemicu yang dijelaskan dalam bagian akar penyebab menentukan apakah cacat tersebut dipicu saat runtime. Namun, kondisi tersebut tidak menentukan apakah kernel yang sedang berjalan mengandung cacat; oleh karena itu, gunakan versi kernel sebagai kriteria keputusan.

    Perbaiki instans yang terdampak

    Untuk semua distribusi, perbaikan mengharuskan Anda melakukan upgrade paket kernel dan me-restart instans agar perbaikan berlaku.

    Penting

    Me-restart instans akan mengganggu semua layanan yang sedang berjalan di dalamnya. Rencanakan restart sebelum melakukan upgrade kernel.

    Ubuntu 24.04 LTS

    Lakukan upgrade kernel ke 6.8.0-58-generic (versi paket 6.8.0-58.60) atau lebih baru.

    1. Pastikan versi kernel yang memenuhi syarat tersedia. Perintah berikut memperbarui indeks paket dan mencantumkan versi linux-image-generic yang ditawarkan oleh repositori yang telah Anda konfigurasi.

      sudo apt update
apt-cache madison linux-image-generic

    2. Lakukan upgrade paket kernel.

      sudo apt install -y --only-upgrade linux-image-generic

    3. Restart instans.

      sudo reboot

    4. Setelah restart, konfirmasi versi kernel yang sedang berjalan.

      uname -r

      Verifikasi bahwa output-nya adalah 6.8.0-58-generic atau lebih baru.

    Catatan

    Ubuntu melaporkan kernel yang sama sebagai 6.8.0-58-generic dalam output uname -r dan sebagai 6.8.0-58.60 dalam metadata paket. Kernel 6.8.0-60-generic yang disertakan dalam citra ECS yang dirilis pada Mei 2025 lebih baru daripada 6.8.0-58-generic dan karenanya telah mencakup perbaikan.

    CentOS Stream 9

    Lakukan upgrade kernel ke kernel-5.14.0-570.12.1.el9_6 atau lebih baru.

    1. Lakukan upgrade paket kernel.

      sudo dnf clean all && sudo dnf makecache
sudo dnf -y update kernel

    2. Restart instans.

      sudo reboot

    3. Setelah restart, konfirmasi versi kernel yang sedang berjalan.

      uname -r

      Verifikasi bahwa output-nya adalah 5.14.0-570.12.1.el9_6 atau lebih baru.

    Fedora 40 (EOL)

    Fedora 40 telah mencapai EOL dan tidak lagi didukung, serta tidak ada pembaruan yang direncanakan untuk citra resmi ECS Fedora 40. Lakukan upgrade ke Fedora 41 atau lebih baru.

    Jika Anda tetap menjalankan Fedora 40, lakukan upgrade kernel ke 6.12.5-200 atau lebih baru.

    1. Lakukan upgrade paket kernel.

      sudo dnf clean all && sudo dnf makecache
sudo dnf -y update kernel

    2. Restart instans.

      sudo reboot

    3. Setelah restart, konfirmasi versi kernel yang sedang berjalan.

      uname -r

      Verifikasi bahwa output-nya adalah 6.12.5-200 atau lebih baru.

    Mitigasi sementara

    Tidak tersedia mitigasi sementara untuk CVE-2024-57843. Lakukan upgrade ke versi kernel yang telah mencakup perbaikan. Mengubah salah satu kondisi pemicu yang dijelaskan dalam bagian akar penyebab bukan pengganti dari upgrade kernel.

    Peringatan

    Jangan atur net.core.high_order_alloc_disable=1 di lingkungan produksi. Pada versi kernel yang mengandung kerentanan, parameter ini secara signifikan meningkatkan probabilitas kerentanan dipicu. Versi kernel tanpa kerentanan tidak terdampak.

    Akar penyebab

    CVE-2024-57843 adalah overflow cross-page sebesar 16 byte yang terjadi saat driver virtio-net mengisi buffer RX mergeable dengan data.

    Dalam mode DMA premapped (do_dma=true), setiap halaman frag harus menyisakan 16 byte di awal halaman untuk menyimpan informasi pemetaan. Saat semua kondisi dalam tabel berikut terpenuhi, driver mengalokasikan halaman berukuran 4096 byte (order-0) tetapi harus menulis 16 + 4096 = 4112 byte. 16 byte terakhir ditulis ke halaman berikutnya yang berdekatan secara fisik, sehingga diam-diam merusak memori.

    No.Trigger conditionDescription
    1premapped DMA is activeHarus menyisakan 16 byte di awal halaman.
    2mergeable RX buffers are used and XDP is disabledMenentukan jalur kode yang menghitung panjang buffer.
    3MTU >= 4084 dan EWMA panjang paket traffic > 4020Menjenuhkan len hingga 4096.
    4Halaman frag fallback dari order-3 ke order-0 (tekanan memori sementara)Halaman order-3 (32 KB) memiliki ruang yang cukup, tetapi halaman order-0 (4 KB) tidak.

    Cegah instans baru terdampak

    Saat membuat instans ECS, gunakan citra resmi yang telah mencakup perbaikan.

    Jika crash masih terjadi setelah upgrade

    Jika crash serupa masih terjadi setelah Anda melakukan upgrade kernel, kumpulkan file vmcore dan kirimkan tiket untuk bantuan troubleshooting.

    Referensi