[단독방어] 분석 — CVE-2026-23154

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

XLAT(BPF bpf_skb_proto_4_to_6 / bpf_skb_proto_6_to_4) 로 IPv4↔IPv6 변환이 이루어진 GSO 패킷이 skb_segment_list 에 전달될 때, 헤더만 번역되고 frag‑list 내부는 원본 그대로 남습니다. 커널은 SKB_GSO_DODGY 플래그를 확인하지 못해 잘못된 세그멘테이션을 수행하고, 이로 인해 패킷 재조립 오류와 전송량 급감이 발생합니다. 로컬 권한(낮은 권한)만 있으면 해당 BPF 프로그램을 호출하여 트리거할 수 있습니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 표시되므로 공격자는 로컬 시스템에 직접 접근해야 하며, 복잡한 사전 준비 없이도 낮은 권한만으로 악용할 수 있습니다. 하지만 EPSS 값이 0.00115(≈0.12 %)로 매우 낮고 KEV 목록에도 등재되지 않았으므로 현재 실제 공격 사례가 거의 보고되지 않아 위협 수준이 제한적이라고 판단됩니다. 공격자는 GSO/GRO 세그멘테이션을 수행하는 네트워크 스택 코드, 특히 skb_segment_list 함수가 호출되는 경로에 진입해야 하며, 이는 일반 사용자 프로세스가 직접 커널 모듈이나 네트워크 드라이버를 조작할 수 있는 상황이어야 가능합니다. 취약점이 노출되는 공격 표면은 Linux 커널의 네트워킹 서브시스템이며, 특히 IPv4 패킷을 IPv6‑only 업스트림 인터페이스를 통해 전달하는 핫스팟 환경에서 GRO frag_list가 포함된 트래픽을 처리할 때 나타납니다. 따라서 공격자는 해당 환경에 존재하는 로컬 계정(예: 제한된 권한의 서비스 계정)으로 네트워크 패킷을 조작하거나 특수히 구성된 테스트 패킷을 전송해 GSO 분할 로직을 트리거해야 합니다. 이와 같이 공격 조건이 로컬·저복잡도·낮은 권한에 국한되고, 실제 악용 사례가 거의 없으므로 평가 등급이 “hard”로 유지됩니다.

• 전송량 감소: GSO 세그멘테이션 오류로 인해 네트워크 처리량이 크게 저하됩니다.
• 패킷 손실/재전송 증가: 잘못된 프래그먼트가 드롭되어 재전송 루프가 발생할 수 있습니다.
• 서비스 가용성 저하: 애플리케이션 레이어에서 지연·타임아웃이 늘어나 서비스 응답성이 떨어집니다.

• 추정: GSO/TSO 버퍼 오버플로우(CWE‑119)와 결합될 경우 커널 패닉 위험이 존재합니다.
• 추정: XLAT 입력 검증 부재(CWE‑20)와 연계하면 악의적인 패킷이 비정상 경로를 통해 전파될 가능성이 있습니다.

로그 지표

• dmesg·/var/log/kern.log 에 “skb_segment_list” 호출 시 SKB_GSO_DODGY 플래그가 없다는 메시지가 기록됩니다. 예) GRO fraglist segmentation anomaly – SKB_GSO_DODGY not set.
• BPF XLAT 프로그램 실행 로그에 “XLAT GSO packet processed without DODGY flag” 가 남을 수 있습니다.

SIEM 쿼리 (Elastic Kibana Lucene)

 1event.module:kernel AND event.dataset:net
 2AND message:"skb_segment_list"
 3AND NOT message:*SKB_GSO_DODGY*

• 조건: 동일 호스트에서 5분 내 동일 src_ip 로 ≥3회 발생 시 경보.

Suricata 정규식 탐지 예시

 1alert kernel any any -> $HOME_NET any (msg:"Linux kernel GSO segmentation anomaly";
 2    content:"skb_segment_list"; nocase;
 3    pcre:"/SKB_GSO_DODGY\s*=\s*0/"; distance:0; within:64;
 4    threshold:type both, track by_src, count 3, seconds 300;)

오탐 튜닝

• 고성능 스위치·라우터가 대량 GSO 패킷을 처리할 때 동일 로그가 발생할 수 있습니다. interface 혹은 src_mac 필터를 추가해 인프라 내부 인터페이스만 모니터링하도록 제한하십시오.

즉시(긴급 차단) – 오늘 당장 적용할 임시 조치

• 모든 네트워크 인터페이스에서 GRO 를 비활성화합니다.
  bash복사

   1for i in /sys/class/net/*/gro; do echo 0 > "$i"; done

  구현 난이도 ★, 운영 영향 ▲(고속 전송 성능 저하), 검증: cat /sys/class/net/<iface>/gro 가 0 인지 확인하십시오.

단기(완화) – 패치 적용 전까지 위험을 낮춤

• XLAT BPF 헬퍼(bpf_skb_proto_4_to_6, bpf_skb_proto_6_to_4)에 skb->gso_type |= SKB_GSO_DODGY; 를 삽입한 커스텀 패치를 적용하고 해당 프로그램을 재로드합니다.
  구현 난이도 ★★, 운영 영향 ▴(특정 BPF 프로그램 재시작 필요), 검증: 재로드 후 dmesg 에 “SKB_GSO_DODGY set” 로그가 남는지 확인하십시오.

근본(해결) – 커널 업데이트

• 영향을 받는 버전 5.6‑6.12.69 및 6.13‑6.18.9 에 대해 upstream 패치를 포함한 최신 커널로 업그레이드합니다.
  • RHEL/CentOS: yum update kernel && reboot
  • Debian/Ubuntu: apt-get install --only-upgrade linux-image-$(uname -r) && reboot
    구현 난이도 ★★★, 운영 영향 ▴(재부팅 필요), 검증: 재부팅 후 uname -r 로 버전을 확인하고, 24 시간 동안 skb_segment_list·SKB_GSO_DODGY 관련 로그가 발생하지 않는지 모니터링하십시오.

잔여 리스크

• 패치 적용 후에도 XLAT 입력 검증 결함이 남을 수 있으므로, 위 탐지 규칙을 지속 운영하고 정기적인 커널 보안 스캔(Grsecurity·Lynis 등)으로 추가 취약점을 점검하시기 바랍니다.

인시던트 대응 플레이북 (요약)

1. 경보 발생 → dmesg·kern.log 에서 관련 메시지 추출.
2. 해당 호스트의 GRO 상태 확인 및 즉시 비활성화.
3. XLAT BPF 설정 검토 후 필요 시 플래그 강제 삽입 패치 적용.
4. 서비스 성능 지표(throughput, latency) 수집·이상 여부 판단.
5. 가능한 경우 최신 커널로 업데이트하고 재부팅.
6. 사후 보고서 작성 및 탐지 규칙·SOP에 반영.

우선순위 근거 – 다중 소스에서 일관성이 확인됐으며 EPSS 0.00115(실제 악용 가능성 낮음)와 CVSS 5.5를 고려해 “monitor” 수준으로 분류되었습니다. 그러나 성능 저하 위험이 실질적이므로 즉시 GRO 비활성화와 모니터링을 병행하는 것이 권장됩니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None