[분석가] 분석 — CVE-2026-23030

• 심각도 미상 · CVSS 미상 · EPSS 0.00217 · 악용난이도 hard

(1) 트리거 조건: rockchip_usb2phy_probe() 함수 내에서 for_each_available_child_of_node() 루프가 실행될 때, 성공적으로 of_node_put()이 호출된 후 devm_request_threaded_irq() 단계에서 실패가 발생하면 put_child 레이블로 점프하여 동일한 노드에 대해 of_node_put()을 다시 한 번 호출하는 조건에서 트리거됩니다.
(2) 공격 단계:

• 정찰/초기접근: Rockchip USB2 PHY 드라이버를 사용하는 하드웨어 환경에 접근 권한 확보. (전제조건: 커널 모듈 로드 및 장치 프로빙 가능 상태)
• 실행: 특정 조건(IRQ 요청 실패 등)을 유도하여 rockchip_usb2phy_probe() 내의 Double Free 경로를 활성화.
• 영향: 커널 메모리 오염으로 인한 시스템 크래시(Panic) 또는 추정: 권한 상승 시도.
• 관측 지표: Kernel Oops 로그, kfree() 관련 메모리 손상 경고.
  (3) 공격 표면: Rockchip USB2 PHY 드라이버의 프로빙 프로세스 (커널 내부 함수).
  (4) CVSS 벡터 연결: CVSS 점수는 미상이나, 커널 드라이버 프로빙 단계의 결함이므로 추정: 로컬 접근(AV:L) 및 높은 권한(PR:H 또는 L)이 필요할 가능성이 높습니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 Linux kernel의 rockchip_usb2phy_probe() 함수 내에서 발생하는 Double Free 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 Local 권한(PR:L)과 높은 복잡도(AC:H)가 요구되며, 특히 특정 Rockchip SoC 기반 하드웨어의 USB2 PHY 드라이버 로딩 과정이라는 매우 제한적인 트리거 조건이 필요합니다. 공격 표면은 커널 내부의 of_node_put() 호출 경로에 국한되어 있어, 외부 네트워크를 통한 원격 공격은 불가능하며 시스템에 이미 접근 권한을 가진 공격자가 특정 하드웨어 상태를 조작해야만 유효합니다. EPSS 수치가 0.00217로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 메모리 오염 위험에도 불구하고 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 결과적으로 하드웨어 의존성이 극도로 높고 실행 경로가 좁아, 일반적인 환경에서의 실질적인 악용 가능성은 매우 낮을 것으로 판단됩니다.

(1) 기술적 위험: Double Free로 인한 커널 메모리 관리 체계 파괴가 발생하며, 이는 즉각적인 시스템 가용성 상실(Kernel Panic/DoS)로 이어집니다. 추정: 정교하게 조작된 힙 레이아웃을 이용할 경우 임의 코드 실행을 통한 권한 상승 가능성이 존재합니다.
(2) 비즈니스 영향: Rockchip SoC 기반 임베디드 장비의 갑작스러운 재부팅 또는 서비스 중단으로 인한 가용성 저하가 예상됩니다. 다만, 특정 하드웨어 드라이버에 국한된 문제이므로 범용 서버 환경보다는 특정 엣지 디바이스의 리스크가 큽니다.

• 유형: Memory Corruption (Double Free).
• 체이닝 패턴: 추정: [메모리 레이아웃 조작] $\rightarrow$ [Double Free 트리거] $\rightarrow$ [커널 객체 덮어쓰기] $\rightarrow$ [권한 상승(LPE)] 순으로 이어지는 일반적인 커널 익스플로잇 체인이 가능할 것으로 추정됩니다.

(1) 로그 지표: dmesg 또는 /var/log/kern.log 내의 "slab-out-of-bounds", "double free", "kernel panic" 및 rockchip_usb2phy_probe 함수 호출 스택이 포함된 덤프 로그.
(2) 탐지 규칙:

• 로직: dmesg | grep -E "double free|rockchip_usb2phy_probe"
• SIEM 예시: index=linux_logs message="*double free*" AND message="*rockchip_usb2phy_probe*"
  (3) 오탐 시나리오: 하드웨어 결함으로 인한 일반적인 커널 패닉과 혼동될 수 있습니다. 호출 스택(Call Stack)에서 of_node_put의 중복 호출 여부를 확인하여 튜닝해야 합니다.

• 즉시(긴급 차단): 영향 받는 Rockchip USB2 PHY 하드웨어 모듈의 사용을 중단하거나 드라이버 로드를 차단합니다. (난이도: 낮음 / 영향: 해당 기능 사용 불가 / 검증: lsmod 확인)
• 단기(완화): 시스템 가용성 확보를 위해 커널 패닉 발생 시 자동 재부팅 설정을 활성화하여 서비스 중단 시간을 최소화합니다. (난이도: 낮음 / 영향: 일시적 서비스 단절 / 검증: sysctl kernel.panic 설정 확인)
• 근본(해결): 해당 취약점이 해결된 최신 Linux 커널 버전으로 업데이트하고, rockchip_usb2phy_probe() 함수에서 중복 of_node_put() 호출을 방지하는 패치를 적용합니다. (난이도: 중간 / 영향: 시스템 재부팅 필요 / 검증: 커널 버전 확인 및 패치 코드 반영 여부 검토)

[분석 근거]

• 교차검증: 다중 소스 분석 결과, Rockchip USB2 PHY 드라이버의 Double Free 결함이라는 점에 대해 일관성이 확인되었습니다.
• EPSS: 실측값 0.00217(백분위 0.12101)은 현재 야생에서의 실제 악용 가능성이 매우 낮음을 의미하며, 이는 이론적 심각도와 별개로 즉각적인 대규모 공격 위협은 낮은 상태임을 나타냅니다.
• 우선순위: CVSS 미상, non-KEV, 낮은 EPSS 수치 및 exploit 난이도가 'hard'인 점을 근거로 규칙 기반 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00217 · exploit=hard · in_scope=None