[분석가] 분석 — CVE-2026-23458

• 심각도 high · CVSS 7.8 · EPSS 0.00131 · 악용난이도 hard

본 취약점은 netfilter 내 ctnetlink_dump_exp_ct() 함수에서 발생하는 Memory-Corruption(Use-After-Free)입니다.

1. 원인: Netlink dump 과정에서 conntrack 포인터를 cb->data에 저장하지만, netlink_dump_start() 직후 참조(reference)를 즉시 해제합니다.
2. 경로: Dump 작업이 여러 라운드로 진행될 경우, 두 번째 recvmsg() 호출 시 이미 해제된 conntrack 메모리를 nfct_help(ct)를 통해 다시 참조하게 됩니다.
3. 결과: 공격자가 Slab 레이아웃을 정밀하게 조작하여 해당 영역에 제어 가능한 데이터를 배치할 경우, 커널 권한으로 임의 코드 실행 및 권한 상승(LPE)으로 이어질 수 있습니다.

악용 가능성: 본 취약점은 Linux kernel 내 netfilter 모듈의 ctnetlink_dump_exp_ct() 함수에서 발생하는 Use-After-Free(UAF) 결함입니다. 공격 벡터가 Local(AV:L)이며 낮은 수준의 권한(PR:L)이 필요하므로, 이미 시스템에 접근 권한을 가진 내부 사용자나 다른 취약점을 통해 셸을 확보한 공격자가 권한 상승(Privilege Escalation)을 위해 악용할 가능성이 높습니다. 공격 표면은 netlink 소켓 인터페이스이며, 특히 대량의 conntrack 데이터를 요청하여 덤프 과정이 여러 라운드로 나뉘어 진행될 때(recvmsg() 반복 호출) 메모리 참조 오류가 트리거됩니다. 복잡도(AC:L)는 낮으나 커널 메모리 레이아웃에 의존적인 UAF 특성상 실제 실행 가능한 페이로드를 구성하는 난이도는 hard로 판정됩니다. EPSS 수치가 0.00131로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 활발한 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실제 공격 가능성은 제한적인 상태입니다. 따라서 본 취약점의 악용 가능성은 특정 조건을 만족하는 로컬 환경 내의 정교한 타겟팅 공격으로 국한됩니다.

• 영향 범위: Linux Kernel 3.10부터 최신 버전대(6.19.10 포함)까지 광범위하게 영향을 받습니다. 다중 소스 데이터 교차검증 결과 일관성이 확인되어 신뢰도가 매우 높으며, 공급망 관점에서 대다수의 리눅스 배포판이 노출되었을 가능성이 큽니다.
• 기술적 위험: CVSS 7.8(High)로, 로컬 권한을 가진 사용자(PR:L)가 낮은 복잡도(AC:L)로 시스템의 기밀성, 무결성, 가용성을 모두 침해(C:H/I:H/A:H)할 수 있습니다. 특히 커널 객체 조작을 통한 Root 권한 획득이 가능합니다.
• 비즈니스 리스크:
  • 시스템 장악: 내부 사용자나 이미 침투한 공격자가 최상위 권한을 획득하여 시스템 전체를 제어할 수 있습니다.
  • 가용성 저하: 취약점 트리거 시 KASAN 로그에서 확인되듯 커널 패닉(Kernel Panic) 및 시스템 크래시로 인한 서비스 중단이 발생합니다.

• 유형: Memory-Corruption (Use-After-Free).
• 체이닝 가능성: 단독으로 Root 권한 획득이 가능하나, 추정: 다른 로컬 취약점과 체이닝하여 초기 진입 후 권한 상승 단계에서 활용될 가능성이 높습니다.

• 커널 로그: BUG: KASAN: slab-use-after-free in ctnetlink_exp_ct_dump_table 메시지 모니터링.
• 시스템 호출: auditd 등을 통해 비정상적인 netlink 메시지 전송 및 conntrack 덤프 요청 패턴 감시.
• 특이 사항: 공격자가 메모리 레이아웃을 직접 조작할 경우 일반적인 로그가 남지 않을 수 있으므로, 커널 힙 가드(Heap Guard) 설정 확인이 필요합니다.

• 근본 해결: 영향 범위에 해당하는 Linux Kernel 버전을 최신 패치 버전으로 업데이트하십시오. (참조된 수정 사항: .start 및 .done 콜백 추가를 통한 참조 유지 로직 적용)
• 즉시 조치:
  • 패치가 불가능한 환경에서는 SELinux/AppArmor 정책을 강화하여 비신뢰 사용자의 netlink 인터페이스 접근을 제한하십시오.
  • 추정: nf_conntrack 모듈 비활성화가 가능하나, 이는 방화벽 및 NAT 기능 마비를 초래하므로 서비스 가용성을 고려해 극히 제한적인 호스트에만 적용하십시오.
• 우선순위 근거: EPSS 0.00131로 실제 야생 악용률은 낮고 악용 난이도가 hard로 평가되나, 성공 시 영향력이 치명적이므로 규칙 기반 우선순위에 따라 이번 주 내(scheduled) 패치를 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00131 · exploit=hard · in_scope=None