[공격] 분석 — CVE-2025-21925

• 심각도 medium · CVSS 5.5 · EPSS 0.002 · 악용난이도 hard

(1) 트리거 조건: net/llc/llc_s_ac.c에서 dev_queue_xmit() 호출 전 skb_get()를 사용하여 Reference Count만 증가시킨 상태로 패킷을 전달할 때 발생함. 특히 IFF_TX_SKB_SHARING을 지원하지 않는 네트워크 드라이버(예: e1000)가 공유된 skb에 대해 eth_skb_pad()를 호출하여 헤더 확장을 시도하면 커널 BUG(pskb_expand_head)가 트리거됨.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 및 네트워크 인터페이스 드라이버(e1000 등) 확인.
• 초기접근: 로컬 사용자 권한 획득 (AV:L, PR:L).
• 실행/영향: LLC 프로토콜을 사용하는 특수 패킷 생성 및 송신 $\rightarrow$ 커널 내 skb 공유 상태에서 패딩 시도 $\rightarrow$ kernel BUG 발생 $\rightarrow$ 시스템 Panic/Crash.

(3) 공격 표면:

• 프로토콜: Logical Link Control (LLC).
• 함수 경로: llc_s_ac.c $\rightarrow$ dev_queue_xmit() $\rightarrow$ 드라이버(e1000_xmit_frame) $\rightarrow$ eth_skb_pad().

(4) CVSS 벡터 분석:

• AV:L / PR:L: 로컬 권한을 가진 사용자가 네트워크 소켓을 통해 LLC 패킷을 생성해야 하므로 외부 원격 공격은 불가능함.
• AC:L: 특정 드라이버 환경만 갖춰지면 트리거 조건이 단순하여 복잡도가 낮음.

악용 가능성: 본 취약점은 AV:L/PR:L 벡터가 가리키듯, 공격자가 이미 시스템에 낮은 권한의 계정으로 접근하여 로컬 네트워크 인터페이스를 제어할 수 있는 환경을 전제로 합니다. 공격 표면은 Linux 커널의 LLC(Logical Link Control) 프로토콜 스택이며, 구체적으로는 net/llc/llc_s_ac.c 내에서 skb_get()가 호출되는 지점이 트리거 포인트입니다. IFF_TX_SKB_SHARING을 지원하지 않는 네트워크 드라이버(예: e1000) 환경에서 공유된 skb에 대해 eth_skb_pad() 등이 호출될 때 커널 패닉(BUG)이 발생하는 구조입니다. EPSS 수치가 0.002로 매우 낮고 KEV에 등재되지 않은 점은, 이 취약점이 일반적인 외부 공격 경로보다는 특정 드라이버와 LLC 설정이 일치해야 하는 특수 상황에서만 작동함을 의미합니다. 따라서 원격에서의 직접적인 악용 가능성은 희박하며, 로컬 권한 상승(LPE)을 위해 커널 상태를 불안정하게 만드는 DoS 공격이나 메모리 오염 체이닝의 일부로 활용될 가능성이 큽니다. 결과적으로 이론적 심각도보다는 특정 하드웨어 환경과 로컬 접근 권한이라는 제약 조건으로 인해 실전 공격 난이도는 'Hard'로 판정됩니다.

(1) 기술적 위험: 시스템 가용성 상실 (Denial of Service). 커널 패닉으로 인해 호스트가 즉시 중단되며, KASAN 환경에서 invalid opcode와 함께 Crash가 발생함.
(2) 비즈니스 영향: 서버 다운타임으로 인한 서비스 중단. 다만, 로컬 권한이 필요하고 EPSS 0.002(실측 악용 가능성 매우 낮음) 및 우선순위 'monitor' 결정 논리에 따라 즉각적인 대규모 피해 가능성은 낮으나, 다중 소스에서 일관성이 확인된 결함이므로 잠재적 위험 존재함.

• 추정: 본 취약점은 단순 DoS에 그치지만, skb (socket buffer)의 Reference Count 조작 및 메모리 공유 메커니즘과 관련되어 있음.
• 체이닝 패턴: 추정: [로컬 권한 획득] $\rightarrow$ [본 CVE를 통한 커널 패닉 유도(DoS)] 또는 추정: [메모리 오염/UAF 유형의 다른 결함]과 체이닝될 경우, 단순 Crash가 아닌 권한 상승(LPE)으로 이어질 가능성이 이론적으로 존재하나 본 리포트 상에서는 확인되지 않음.

(1) 로그 지표: 커널 링 버퍼(dmesg) 또는 /var/log/syslog 내 kernel BUG at net/core/skbuff.c, Oops: invalid opcode, pskb_expand_head 문자열 포함 여부.
(2) 탐지 규칙:

• 로직: dmesg | grep -E "pskb_expand_head|llc_s_ac"
• SIEM 쿼리 예시: process.name == "kworker" AND message CONTAINS "kernel BUG" AND message CONTAINS "net/core/skbuff.c"
  (3) 오탐 시나리오: 네트워크 드라이버 자체의 하드웨어 결함이나 다른 메모리 오류로 인한 Crash와 혼동될 수 있음. Call Trace 내 llc_s_ac 및 e1000_xmit_frame 경로가 명시적으로 나타나는지 확인하여 튜닝.

• 즉시(긴급 차단): LLC 프로토콜 사용 제한 또는 불필요한 네트워크 인터페이스 비활성화. (난이도: 하 / 영향: LLC 서비스 중단 가능성 / 검증: ifconfig 및 모듈 로드 확인)
• 단기(완화): 취약한 드라이버(e1000) 사용 환경 점검 및 해당 인터페이스의 트래픽 제어. (난이도: 중 / 영향: 성능 저하 가능성 / 검증: 패킷 캡처 분석)
• 근본(해결): Linux 커널을 수정 버전으로 업데이트 (skb_get() $\rightarrow$ skb_clone() 변경 적용 버전). (난이도: 상 / 영향: 재부팅 필요, 가용성 일시 중단 / 검증: uname -r 및 패치 내역 확인)

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.002 · exploit=hard · in_scope=None