[분석가] 분석 — CVE-2025-21925

• 심각도 medium · CVSS 5.5 · EPSS 0.002 · 악용난이도 hard

(1) 트리거 조건: IFF_TX_SKB_SHARING을 지원하지 않는 네트워크 장치에서 LLC(Logical Link Control) 프로토콜 사용 시, dev_queue_xmit() 호출 전 skb_get()가 수행되어 skb가 공유 상태가 됨. 이후 e1000 드라이버 등이 eth_skb_pad()를 호출하여 패딩을 시도할 때, 공유된 skb에 대한 쓰기 작업이 발생하며 커널 BUG(Crash)가 트리거됨.
(2) 공격 단계:

• 정찰 및 전제조건 확인: 대상 시스템의 커널 버전과 LLC 모듈 활성화 여부, 사용 중인 NIC 드라이버(예: e1000) 확인.
• 초기 접근: 로컬 사용자 권한 획득 (PR:L).
• 실행: LLC 패킷을 생성하여 네트워크 인터페이스로 전송하는 특수하게 조작된 소켓 프로그램 실행.
• 영향: pskb_expand_head 단계에서 커널 패닉 발생 및 시스템 중단(DoS).
  (3) 공격 표면: Linux Kernel Networking Stack $\rightarrow$ LLC (net/llc) $\rightarrow$ NIC Driver (e.g., e1000).
  (4) CVSS 벡터 연결:
• AV:L / PR:L: 로컬 계정 권한을 가진 사용자가 시스템 내부에서 패킷을 생성해야 함.
• AC:L / UI:N: 특별한 사용자 상호작용 없이 특정 조건의 드라이버와 LLC 설정만으로 트리거 가능.

악용 가능성: 본 취약점은 공격 난이도가 Hard로 평가되며, 실제 악용 가능성은 매우 제한적입니다. CVSS 벡터의 AV:L과 PR:L은 공격자가 이미 시스템에 낮은 권한으로 접근하여 로컬 환경에서 실행 권한을 확보해야 함을 의미하며, 이는 외부 네트워크를 통한 직접적인 침투가 불가능함을 시사합니다. 특히 EPSS 0.002라는 매우 낮은 수치와 KEV 미등재 사실은 이론적 심각성과 별개로 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 뒷받침하는 근거입니다. 공격 표면은 Linux Kernel의 net/llc 모듈 내 LLC(Logical Link Control) 프로토콜 처리 과정이며, 구체적으로는 IFF_TX_SKB_SHARING을 지원하지 않는 네트워크 디바이스(예: e1000 드라이버)에서 패킷 전송 시 발생하는 메모리 공유 및 참조 횟수 관리 오류가 트리거 조건입니다. 결과적으로 로컬 권한을 가진 공격자가 특정 네트워크 설정과 드라이버 환경을 갖춘 상태에서 정교하게 조작된 트래픽을 생성해야 하므로, 일반적인 운영 환경에서의 악용 가능성은 낮습니다.

(1) 기술적 위험: 커널 메모리 오염으로 인한 kernel BUG 및 Oops 발생. 이는 즉각적인 시스템 크래시로 이어져 서비스 가용성이 완전히 상실되는 Denial of Service(DoS) 상태를 유발함.
(2) 비즈니스 영향:

• 가용성: 서버 다운타임 발생으로 인한 서비스 중단.
• 신뢰도: 인프라 안정성 저하 및 예기치 못한 재부팅으로 인한 데이터 처리 중단 가능성.
• 노출 규모: LLC 프로토콜을 사용하며 취약한 커널 버전(2.6.13 ~ 6.13.7 등 광범위함)과 특정 NIC 드라이버를 사용하는 시스템 전체가 대상임.

추정: 본 취약점은 메모리 참조 카운팅 오류로 인한 DoS 유형임. 단독으로는 권한 상승이나 데이터 유출을 일으키지 않으나, 추정: 커널 내 다른 메모리 관리 결함과 체이닝될 경우, 비정상적인 메모리 상태를 이용해 공격자가 제어 흐름을 조작하려는 시도의 일부로 활용될 가능성이 있음.

(1) 로그 지표: 커널 링 버퍼(dmesg) 또는 /var/log/syslog 내 kernel BUG at net/core/skbuff.c, Oops: invalid opcode, pskb_expand_head 등의 스택 트레이스 기록.
(2) 탐지 규칙 예시:

• 로직: dmesg | grep -E "kernel BUG.*net/core/skbuff.c|pskb_expand_head"
• SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message LIKE '%pskb_expand_head%' AND message LIKE '%Oops%'
  (3) 오탐 시나리오: 네트워크 드라이버 자체의 하드웨어 결함이나 다른 메모리 오류로 인한 크래시일 수 있음. net/llc/llc_s_ac.c 관련 호출 스택이 포함되어 있는지 확인하여 튜닝 필요.

• 즉시(긴급 차단): LLC 프로토콜 사용 중단 및 관련 모듈 언로드 (modprobe -r llc). (난이도: 저 / 영향: LLC 기반 통신 불가 / 검증: lsmod | grep llc 확인)
• 단기(완화): 취약한 NIC 드라이버(e1000 등)의 사용을 제한하거나, 네트워크 인터페이스 설정을 변경하여 공유 SKB 생성을 방지하는 설정 검토. (난이도: 중 / 영향: 하드웨어 호환성 문제 가능성 / 검증: 트래픽 전송 테스트)
• 근본(해결): Linux 커널을 패치 버전으로 업데이트. skb_get()를 skb_clone()으로 교체한 수정 사항이 반영된 최신 커널 적용. (난이도: 중 / 영향: 시스템 재부팅 필요 / 검증: uname -r 및 패치 내역 확인)

※ 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.002)와 CVSS 5.5, AV:L 등 공격 난이도(Hard)를 근거로 'monitor' 우선순위가 결정되었습니다. 이는 이론적 위험보다 실제 야생 악용 가능성이 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.002 · exploit=hard · in_scope=None