[분석가] 분석 — CVE-2026-23083

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

• 원리: Linux 커널의 FOU(Foo-over-UDP) 모듈 내 fou_udp_recv() 함수에서 FOU_ATTR_IPPROTO 값이 0으로 설정될 경우, 수신된 skb(socket buffer)가 적절히 해제되지 않거나 ip_protocol_deliver_rcu()를 통해 재전송(resubmit)되지 않는 로직 결함이 존재합니다.
• 경로: 공격자는 시스템에 대한 로컬 접근 권한(AV:L, PR:L)을 가진 상태에서 특수하게 조작된 FOU 속성 값을 설정하여 커널 메모리 누수 또는 비정상적인 상태를 유발할 수 있습니다.
• 단계: [로컬 권한 획득] → [FOU_ATTR_IPPROTO=0 설정 시도] → [커널 내 skb 처리 누락 발생] → [추정: 커널 패닉 또는 리소스 고갈을 통한 서비스 거부 유발].

악용 가능성: 본 취약점은 Linux kernel의 FOU(Fast Open UDP) 모듈 내 FOU_ATTR_IPPROTO 설정값이 0으로 지정될 때 발생하는 메모리 해제 누락 및 패킷 처리 오류를 다룹니다. 공격 난이도는 Hard로 평가되며, 이는 CVSS 벡터 상 AV:L(Local)과 PR:L(Low Privilege) 조건에 따라 공격자가 이미 시스템 내에 낮은 권한의 계정으로 접근해 있어야 함을 전제로 합니다. 실제 공격 표면은 FOU 관련 Netlink 인터페이스 및 UDP 프로토콜 설정 파라미터로 제한되며, 특정 속성값을 조작하여 커널 메모리 상의 skb가 해제되지 않도록 유도하는 트리거 조건이 필요합니다. 다만 EPSS 수치가 0.00129로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 심각도와 별개로 현재 야생(In-the-wild)에서의 실제 악용 사례가 거의 관측되지 않았음을 시사합니다. 따라서 외부에서 즉각적으로 침투할 수 있는 경로보다는 내부 권한 상승이나 서비스 거부(DoS)를 유도하기 위한 정밀한 조작이 필요한 형태의 위협입니다.

• 영향 제품 및 규모: Linux Kernel 3.18부터 6.18.8까지 광범위한 버전(총 8개 이상의 메이저/마이너 범위)에 걸쳐 영향을 미칩니다. 공급망 관점에서 다수의 배포판과 임베디드 시스템이 포함될 수 있어 노출 규모가 매우 넓습니다.
• 기술적 위험: CVSS 7.8 및 C:H/I:H/A:H 벡터에 따라, 악용 성공 시 기밀성, 무결성, 가용성 모두에 심각한 영향을 줄 수 있습니다. 특히 커널 레벨에서 메모리 해제가 누락되는 점으로 보아 시스템 불안정성 및 서비스 중단(DoS) 위험이 큽니다.
• 비즈니스 리스크: 인프라의 핵심인 커널 취약점으로 인해 서버 가용성이 저하될 수 있으며, 이는 비즈니스 연속성 계획(BCP)에 영향을 줍니다. 다만, 로컬 권한이 필요하므로 외부에서 즉시 진입하는 직접적 위험보다는 내부 위협 또는 체이닝을 통한 권한 상승 리스크가 핵심입니다.

• 패턴: 커널 내 리소스 해제 누락(Memory Leak) 또는 잘못된 입력값 검증 미비 패턴에 해당합니다.
• 체이닝 가능성: 단독으로는 로컬 권한이 필요하므로, 원격 코드 실행(RCE) 취약점과 체이닝될 경우 외부 공격자가 최종적으로 시스템 권한을 완전히 장악하는 경로로 활용될 수 있습니다.

• 커널 로그 분석: fou_udp_recv 관련 비정상적인 메모리 사용량 증가나 커널 덤프/패닉 로그 확인.
• 시스템 호출 모니터링: FOU 설정과 관련된 시스템 호출 시 FOU_ATTR_IPPROTO에 0이 전달되는 패턴을 추적하는 eBPF 기반 모니터링.

• 근본 해결: 영향 범위에 포함된 각 커널 버전의 최신 보안 패치를 적용하여 FOU_ATTR_IPPROTO=0 설정을 금지하는 업데이트를 수행하십시오.
• 즉시 조치: 패치가 불가능한 환경에서는 FOU 모듈 사용 여부를 확인하고, 불필요한 경우 해당 모듈을 언로드(unload)하거나 로딩되지 않도록 설정하여 공격 표면을 제거하십시오.
• 우선순위 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 수치가 0.00129로 낮고 KEV에 등재되지 않아 실제 야생 악용 가능성은 낮은 'hard' 등급으로 예측됩니다. 이에 따라 즉각적인 긴급 대응보다는 이번 주 내(scheduled) 정기 패치 일정에 포함하여 처리할 것을 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None