[분석가] 분석 — CVE-2024-58086

• 심각도 medium · CVSS 5.5 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건: drm/v3d 드라이버에서 performance monitor(perfmon) 객체가 파괴될 때, 활성화된 상태의 v3d->active_perfmon 포인터를 먼저 정지(stop)시키지 않고 제거함으로써 stale pointer가 남게 되는 결함을 이용합니다.
(2) 공격 단계:

• 전제조건: 시스템에 v3d 드라이버가 로드되어 있어야 하며, 공격자는 로컬 사용자 권한(PR:L)을 보유해야 합니다.
• 정찰 및 초기 접근: 로컬 쉘 접근 권한을 통해 커널 드라이버 인터페이스에 접근합니다.
• 실행: perfmon 객체를 생성하고 활성화한 뒤, 적절한 순서 없이 파괴를 유도하여 Use-After-Free(UAF) 상태를 만듭니다.
• 영향: stale pointer 참조로 인한 커널 패닉 또는 정의되지 않은 동작을 유발합니다.
  (3) 공격 표면: Linux 커널의 drm/v3d 드라이버 인터페이스 및 관련 장치 파일.
  (4) CVSS 벡터 분석:
• AV:L: 로컬 접근이 필수적입니다.
• AC:L: 특별한 환경 설정 없이 트리거 가능합니다.
• PR:L: 일반 사용자 권한이 필요합니다.
• UI:N: 사용자 상호작용이 필요 없습니다.

악용 가능성: 본 취약점은 Linux kernel의 drm/v3d 드라이버 내 Performance Monitor(perfmon) 파괴 과정에서 활성화된 모니터를 먼저 중지시키지 않아 발생하는 Use-After-Free(UAF) 및 Stale Pointer 문제입니다. 공격 벡터가 Local(AV:L)이며 낮은 수준의 권한(PR:L)이 필요하므로, 공격자는 이미 시스템에 접근하여 커널 드라이버와 상호작용할 수 있는 로컬 계정 권한을 확보해야 합니다. 복잡성(AC:L)과 사용자 개입(UI:N) 조건은 낮으나, 특정 하드웨어 가속기(v3d)의 성능 모니터링 엔드포인트 및 관련 파라미터를 정밀하게 제어하여 레이스 컨디션이나 잘못된 메모리 참조를 유도해야 하므로 실제 공격 난이도는 hard로 판정됩니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실질적인 위협 수준이 낮음을 의미합니다. 공격 표면은 v3d 드라이버의 perfmon 관련 시스템 호출 및 장치 파일 인터페이스로 제한됩니다. 결과적으로 본 취약점은 로컬 권한 상승이나 커널 패닉을 유발할 가능성이 있으나, 특정 하드웨어 종속성과 제약 조건으로 인해 악용 가능성은 낮습니다.

(1) 기술적 위험: stale pointer 참조로 인한 커널 메모리 오염 및 시스템 크래시가 발생하며, 이는 결과적으로 서비스 거부(A:H) 상태를 초래합니다.
(2) 비즈니스 영향: v3d 드라이버를 사용하는 하드웨어 기반의 Linux 시스템에서 예기치 못한 재부팅이나 시스템 중단이 발생하여 가용성이 저하됩니다. 다만, 로컬 권한이 필요하므로 외부 네트워크를 통한 즉각적인 대규모 서비스 중단 위험은 낮습니다.

(1) 유형: Use-After-Free (UAF).
(2) 체이닝 패턴: 추정: 단순 가용성 저해를 넘어, 메모리 레이아웃 조작을 통해 stale pointer가 가리키는 영역에 공격자가 제어하는 데이터를 배치할 수 있다면, 추정: 권한 상승(Privilege Escalation)으로 이어질 가능성이 있는 전형적인 커널 UAF 체이닝 패턴을 따릅니다.

(1) 로그 지표: /var/log/syslog 또는 dmesg에서 v3d 관련 Kernel Oops, Segmentation Fault, 혹은 General Protection Fault 메시지가 발생하는지 확인합니다.
(2) 탐지 규칙 예시:

• 로직: dmesg | grep -Ei "v3d.*(Oops|Panic|Invalid address)"
• SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message MATCHES '.*v3d.*' AND severity == 'CRITICAL'
  (3) 오탐 시나리오 및 튜닝: 하드웨어 결함이나 다른 드라이버 충돌로 인한 커널 패닉과 혼동될 수 있습니다. active_perfmon 관련 함수 호출 스택이 포함된 덤프 파일을 분석하여 특정 취약점 지점인지 확인하는 튜닝이 필요합니다.

• 즉시(긴급 차단): v3d 드라이버를 사용하지 않는 환경이라면 해당 모듈을 블랙리스트에 추가하여 로드를 차단합니다 (modprobe -r v3d). [난이도: 하 / 영향: v3d 기반 GPU 가속 불가 / 검증: lsmod | grep v3d 결과 없음 확인]
• 단기(완화): 일반 사용자의 /dev/dri/ 장치 접근 권한을 제한하여 공격 표면을 최소화합니다. [난이도: 중 / 영향: 일부 그래픽 애플리케이션 실행 불가 / 검증: ls -l /dev/dri/ 권한 확인]
• 근본(해결): 영향을 받는 커널 버전을 패치된 버전으로 업데이트합니다. (5.15.180+, 6.1.130+, 6.6.80+, 6.12.17+, 6.13.5+ 등 각 브랜치의 최신 수정 버전 적용). [난이도: 중 / 영향: 시스템 재부팅 필요 / 검증: uname -r로 커널 버전 확인]

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00171)과 CVSS 5.5를 기반으로 작성되었습니다. 특히 EPSS 수치가 매우 낮고 KEV에 등재되지 않았으며, 공격 벡터가 로컬(AV:L) 및 난이도가 높음(hard)으로 판정됨에 따라 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None