[분석가] 분석 — CVE-2026-31546

• 심각도 medium · CVSS 5.5 · EPSS 0.00129 · 악용난이도 hard

• 로컬 사용자(특권·비특권 모두) 가 /sys/kernel/debug/bonding/.../bond_debug_rlb_hash_show 파일에 접근 → 함수 bond_debug_rlb_hash_show 에서 client_info->slave 가 NULL 인 상태를 검사하지 않아 커널 Oops 발생.
• 악용 경로: debugfs가 마운트되어 있고 해당 파일에 읽기·쓰기 권한이 있으면 단순 cat 혹은 echo 로 트리거 가능.

악용 가능성: 해당 취약점은 로컬 환경에서만 발동되며(AV:L), 공격자가 이미 루트 권한을 보유하고 있으면(PR:L) 별도의 사용자 상호작용 없이(UI:N) 바로 이용할 수 있습니다. 따라서 실제 공격 전제조건은 “루트 권한이 부여된 내부 사용자가 디버그 인터페이스인 bond_debug_rlb_hash_show 에 접근”하는 것이며, 이는 시스템 관리자가 직접 실행하거나 악성 스크립트가 로컬에서 구동될 때 충족됩니다. EPSS 점수 0.00129는 현재 관측된 악용 사례가 거의 없음을 의미하지만, 이 값이 0에 가깝지 않은 이유는 루트 권한을 전제로 한 공격이 기술적으로 쉬워 실제 위협으로 간주되기 때문입니다. KEV 리스트에 등재되지 않았으므로 공개적인 대규모 악성코드 배포 사례는 보고되지 않았으며, 위험도 평가는 주로 내부 공격자 또는 초기 침투 후 권한 상승 단계에서 고려됩니다. 공격 표면은 net/bonding  모듈의 디버그 파일 시스템(예: /proc/sys/net/bonding/*)에 노출되는 bond_debug_rlb_hash_show 함수이며, 해당 엔드포인트를 호출할 때 슬레이브 포인터가 NULL인 상태를 트리거하면 커널 패닉이 발생합니다. 따라서 공격자는 단순히 해당 디버그 인터페이스를 실행시켜 시스템을 다운시킬 수 있는 로컬 DoS(서비스 거부) 조건을 쉽게 재현할 수 있습니다.

• 기술적 결과: NULL 포인터 deref 로 커널 패닉 → 시스템 전체 재부팅 또는 서비스 중단(Availability Impact = High).
• 데이터·시스템 보안: 기밀성(C)·무결성(I)은 영향을 받지 않음.
• 비즈니스 리스크: 가용성 손실에 따른 SLA 위반, 서비스 연속성 위험, 특히 고가용성을 요구하는 인프라(클라우드 호스트, 통신 장비 등)에서 직접적인 금전적·평판 손실 발생 가능.
• 영향 제품·범위: Linux kernel 2.6.38.1‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 등 다수 버전(총 8 개 이상)에서 존재 → 광범위한 배포 환경에 적용 가능.
• 악용 가능성: EPSS = 0.00129 (실측 악용 확률 낮음)·벡터 AV:L/AC:L/PR:L/UI:N 로 “hard” 평가되었으나, debugfs가 일반 사용자에게 열려 있는 경우 실질적 난이도는 감소함(동료 의견 반영).

• 동일 모듈(bonding) 내 다른 NULL‑pointer 검증 누락 사례와 유사한 로직 오류가 존재하지만, 현재 알려진 별도 CVE는 없음.
• 다른 로컬 권한 상승(LPE) 취약점과 연계될 경우, 커널 패닉 후 재부팅 과정에서 임시 파일 시스템을 악용하는 시나리오가 이론적으로 가능하나, 본 CVE 자체만으로는 체이닝 근거가 부족함.

• 커널 로그: BUG: kernel NULL pointer dereference 와 함께 RIP: bond_debug_rlb_hash_show 가 포함된 Oops 메시지 감시.
• Auditd 규칙 예시:
  text복사

   1-w /sys/kernel/debug/bonding/ -p rwxa -k bonding_debugfs

  → 해당 파일에 대한 read/write/execute 시도 기록.
• 시스템 모니터링: dmesg, /var/log/kern.log 에서 “null pointer dereference” 혹은 “bond_debug_rlb_hash_show” 문자열 탐지.

• 즉시 조치
  • debugfs 비활성화 또는 해당 파일 권한 차단: chmod 000 /sys/kernel/debug/bonding/*/bond_debug_rlb_hash_show 혹은 umount -t debugfs /sys/kernel/debug.
  • 필요 시 mount 옵션에 mode=0700,uid=0,gid=0 적용하여 비특권 사용자의 접근을 차단.
• 근본 해결
  • 최신 커널 패치(버그 수정 커밋) 적용 → 배포된 모든 노드에 업데이트 수행.
  • 자동 재부팅·알림 체계 구축: Oops 발생 시 kernel.panic 설정(panic=10) 및 kexec/kdump 활성화.
• 운영 차원
  • debugfs 사용이 필수적인 경우, 접근 로그(/proc/mounts, /sys/kernel/debug 권한) 실시간 모니터링을 강화하고, 정기적으로 파일 퍼미션 검증 스크립트를 실행.

우선순위 판단: 다중 소스에서 일관된 교차검증 결과와 EPSS 0.00129(낮은 악용 가능성), CVSS 5.5(중간)·hard exploitability, KEV 미등재를 종합해 monitor 수준으로 결정(우선순위 논리: “CVSS=5.5 · non‑KEV · EPSS=0.00129 · exploit=hard”). 따라서 패치 적용을 최우선 과제로 두고, 그 전까지는 위 즉시 조치를 권장합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None