[방어] 분석 — CVE-2026-23060

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

공격자가 authencesn 모듈을 사용하는 환경에서 ESP/ESN 규격에 맞지 않는 짧은 길이의 AAD(assoclen < 8)를 입력으로 제공하여 촉발됩니다. 커널 내부의 crypto_authenc_esn_decrypt() 함수가 유효성 검사 없이 데이터를 처리하다가 목적지 scatterlist의 범위를 초과하여 접근하게 되고, 결과적으로 scatterwalk_map_and_copy() 단계에서 NULL pointer dereference가 발생하며 시스템이 Kernel Panic 상태에 빠집니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 판단됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로컬 계정 권한을 획득하여 커널 인터페이스에 접근할 수 있는 상태여야 합니다. 공격 표면은 Linux Kernel의 crypto: authencesn 모듈 내 crypto_authenc_esn_decrypt() 함수이며, ESP/ESN 규격보다 짧은 AAD(Additional Authenticated Data) 값을 파라미터로 전달하는 것이 트리거 조건입니다. 하지만 EPSS 수치가 0.00123으로 매우 낮고 KEV에 등재되지 않았다는 점은 실제 야생(In-the-wild)에서 이 경로를 이용한 공격 사례가 거의 없음을 시사합니다. 결과적으로 로컬 권한이 필요하고 특정 암호화 모듈의 비정상 입력값을 정밀하게 제어해야 하므로 악용 가능성은 낮으나, 성공 시 NULL pointer dereference로 인한 Kernel Panic(DoS)을 유발하여 시스템 가용성을 즉시 파괴할 수 있는 위협입니다.

• 가용성 상실 (DoS): 커널 패닉으로 인해 대상 서버 및 시스템이 즉시 중단됩니다.
• 영향 범위: CVSS 벡터(AV:L/PR:L)에 따라 로컬 권한을 가진 사용자가 실행 가능하며, 원격 공격자는 다른 취약점을 통해 로컬 셸을 확보한 후 체이닝해야 합니다.

• 패턴: 입력값 길이 검증 미흡으로 인한 메모리 오염/접근 오류 패턴입니다.
• 체이닝: 단독으로는 DoS만 유발하지만, 권한 상승(LPE) 취약점과 결합하여 시스템 가용성을 제어하거나 특정 서비스의 재시작을 강제하는 시나리오로 활용될 수 있습니다.

본 취약점은 커널 내부 메모리 오류를 유발하므로 일반적인 애플리케이션 로그보다는 커널 덤프와 시스템 콜 레벨의 모니터링이 필요합니다.

• 로그 지표:

  • dmesg 또는 /var/log/syslog, /var/log/messages 내 NULL pointer dereference 및 kernel panic 메시지 확인.
  • 특히 scatterwalk_map_and_copy 혹은 crypto_authenc_esn_decrypt 함수 호출 스택(Call Stack)이 포함된 Panic 로그를 추적합니다.

• 탐지 규칙 예시:

  1. SIEM/Log 분석 (Panic 패턴):
     SELECT * FROM kernel_logs WHERE message LIKE '%NULL pointer dereference%' AND message LIKE '%scatterwalk_map_and_copy%'
  2. 런타임 모니터링 (추정 - eBPF 활용 의사코드):
     kprobe:crypto_authenc_esn_decrypt { if (arg_assoclen < 8) { log("Potential CVE-2026-23060 exploit attempt by UID: " + current_uid()); } }

• 오탐 튜닝:

  • 하드웨어 결함이나 다른 커널 모듈의 버그로 인한 NULL pointer dereference가 발생할 수 있습니다. 반드시 호출 스택에 authencesn 관련 함수가 포함되어 있는지 확인하여 필터링해야 합니다.

이 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00123(실측값) 및 AV:L/PR:L 벡터를 근거로 실제 악용 가능성은 낮으나 영향 범위가 광범위한 'monitor' 우선순위로 결정되었습니다.

• 즉시 (긴급 차단):

  • 조치: 불필요한 로컬 사용자의 셸 접근 제한 및 crypto/authencesn 모듈을 사용하는 특정 서비스의 권한 최소화.
  • 난이도/영향: 낮음 / 운영 영향 거의 없음.
  • 검증: lsmod | grep authencesn으로 모듈 로드 여부 확인 및 접근 제어 리스트(ACL) 점검.

• 단기 (완화):

  • 조치: 커널 패닉 발생 시 자동 재부팅 설정(kernel.panic = 10)을 통해 서비스 다운타임을 최소화하고, 시스템 모니터링 도구(Prometheus/Zabbix 등)에 Kernel Panic 알람 설정.
  • 난이도/영향: 낮음 / 가용성 일부 회복 가능하나 근본 해결책은 아님.
  • 검증: sysctl kernel.panic 값 확인.

• 근본 (해결):

  • 조치: 영향받는 커널 버전(4.3 ~ 6.18.8 등)을 최신 보안 패치가 적용된 버전으로 업데이트. (AAD 길이 체크 로직이 추가된 버전으로 업그레이드)
  • 난이도/영향: 중간 / 재부팅 필요, 커널 업데이트에 따른 타 모듈 호환성 테스트 필수.
  • 검증: uname -r을 통해 패치된 버전 적용 여부 확인.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None