[공격] 분석 — CVE-2025-71114

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 취약점 원리: via_wdt 드라이버가 allocate_resource()를 통해 Watchdog 제어 레지스터용 MMIO 영역을 예약할 때 리소스 이름을 지정하지 않음. 이로 인해 x86 플랫폼의 /proc/iomem 내 커널 리소스 트리에 <BAD> 표시가 된 무명 항목이 생성됨.
• 공격 표면: via_wdt 드라이버가 로드된 Linux 커널 환경. 공격자는 시스템에 이미 접근 권한을 가진 Local User(PR:L)여야 함.
• 공격 체인 및 트리거 조건:
  1. 정찰: /proc/iomem 파일을 확인하여 <BAD> 항목의 존재 여부와 via_wdt 드라이버 로드 상태를 확인.
  2. 초기 접근: 낮은 권한의 쉘 획득 (Local Access).
  3. 실행/트리거: 추정: 특정 시스템 호출이나 리소스 조회 요청을 통해 커널이 무명 리소스를 참조하게 유도.
  4. 영향: 커널의 리소스 조회 및 충돌 체크 로직이 <BAD> 항목(invalid entry)을 적절히 처리하지 못해 부팅 과정 혹은 런타임 중 Critical Hang(시스템 정지) 발생.
• CVSS 벡터 분석 (AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H): 네트워크를 통한 원격 공격은 불가능하며, 로컬 권한을 가진 사용자가 복잡한 조건 없이(AC:L) 가용성(A:H)에 치명적인 타격을 줄 수 있는 구조임.

악용 가능성: 본 취약점은 공격 난이도가 매우 높은 hard 등급으로, 원격 실행이 불가능한 Local-only(AV:L) 환경에서 발생합니다. 공격자는 시스템에 이미 로그인하여 낮은 수준의 권한(PR:L)을 확보한 상태여야 하며, 특정 하드웨어(VIA Watchdog)가 탑재된 x86 플랫폼이라는 물리적 제약 조건이 수반됩니다. 공격 표면은 /proc/iomem 내의 리소스 트리와 커널의 allocate_resource() 함수 및 MMIO 영역으로 한정되며, 이름 없는 리소스 할당으로 인해 발생하는 <BAD> 엔트리가 트리거 포인트가 됩니다. EPSS 점수가 0.00123으로 매우 낮고 KEV에 등재되지 않은 점은, 이 결함이 일반적인 원격 공격자의 타겟이 되기보다 특정 하드웨어 환경에서의 시스템 가용성 저해(DoS)에 치중되어 있음을 시사합니다. 결과적으로 복잡한 AC:L 조건에도 불구하고 실제 악용 가능성은 낮으나, 로컬 권한을 가진 공격자가 커널 리소스 충돌을 유도하여 부팅 단계에서 Critical Hang을 일으키는 시스템 파괴 목적의 공격 경로로 활용될 수 있습니다.

• 가용성 파괴 (DoS): 시스템이 완전히 멈추는 Critical Hang이 발생하여 서비스 중단 및 강제 재부팅이 필요함. 데이터 유출(C)이나 권한 상승(I)보다는 시스템 마비에 특화된 취약점임.

• 취약점 유형: Resource Management Error / Improper Input Validation (무명 리소스 처리 미흡).
• 체이닝 경로 (추정):
  1. 권한 상승 $\rightarrow$ DoS: 일반 사용자가 커널 드라이버의 결함을 이용해 시스템 전체를 다운시키는 서비스 거부 공격으로 연결.
  2. Race Condition $\rightarrow$ Hang: 추정: 리소스 할당과 조회 시점 사이의 Race Condition을 유도하여 <BAD> 항목 참조 가능성을 높이는 방식으로 체이닝될 수 있음.
• 방어 우회: 커널 레벨에서 발생하는 리소스 트리 오염이므로, 사용자 공간(User-land)의 보안 솔루션으로는 탐지 및 방어가 불가능하며 커널 패치가 유일한 해결책임.

• 정적 지표: /proc/iomem 파일 내에 <BAD> 문자열이 포함된 엔트리가 존재하는지 확인.
• 동적 지표: via_wdt 드라이버 로드 직후 시스템 로그(dmesg)에서 리소스 할당 관련 에러나 경고 메시지 모니터링.

• 근본 해결: 영향받는 Linux 커널 버전(3.3.1 ~ 6.18.3 등 다수 범위)을 최신 보안 패치가 적용된 버전으로 업데이트.
• 즉시 조치: VIA Watchdog 하드웨어를 사용하지 않는 경우, modprobe 블랙리스트에 via_wdt를 추가하여 드라이버 로드를 차단하거나 커널 파라미터로 해당 드라이버 비활성화.

[파이프라인 근거]
본 분석은 다중 소스 데이터의 일관성이 확인된 [교차검증] 결과를 바탕으로 하며, 실측 EPSS 값(0.00123)과 낮은 백분위(0.02471)를 통해 실제 야생에서의 악용 가능성이 매우 낮음을 인지함. 이에 따라 CVSS 5.5의 이론적 심각도보다 실전 악용 난이도(hard)와 KEV 미등재 사실을 우선하여 대응 우선순위를 monitor로 결정함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None