[분석가] 분석 — CVE-2025-21853

• 심각도 medium · CVSS 5.5 · EPSS 0.00221 · 악용난이도 hard

(1) 트리거 조건: BPF map의 내용을 writable 권한으로 memory mapping(mmap)하는 과정에서 freeze_mutex를 불필요하게 길게 유지하여 발생하는 Race Condition 및 Deadlock 결함을 이용합니다.
(2) 공격 단계:

• 정찰/초기접근: 시스템에 로컬 계정 권한으로 접근 (전제조건: PR:L).
• 실행: BPF map 생성 후, writable 권한의 mmap 요청을 통해 커널 내 freeze_mutex 점유 상태를 유도합니다.
• 영향: 특정 조건에서 뮤텍스 락(Lock)이 해제되지 않아 시스템 전체 또는 관련 프로세스가 응답하지 않는 Deadlock 상태에 진입하여 서비스 거부(DoS)를 유발합니다.
  (3) 공격 표면: Linux 커널의 BPF 서브시스템 및 mmap 시스템 콜 인터페이스입니다.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요)으로, 인증된 로컬 사용자가 시스템 가용성을 저해할 수 있는 조건입니다.

악용 가능성: 본 취약점은 Linux kernel의 BPF map mmap 과정에서 freeze_mutex를 과도하게 유지하여 발생하는 Deadlock 위험으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 유효한 사용자 계정 권한을 가지고 로컬 쉘에 접근할 수 있어야 하며 BPF map 조작 권한이 전제되어야 합니다. 공격 표면은 BPF subsystem의 메모리 매핑 인터페이스와 mmap 시스템 콜이며, 특정 조건에서 뮤텍스 락(Lock) 경합을 유도하여 커널 패닉이나 서비스 거부(DoS) 상태를 트리거하는 구조입니다. EPSS 수치가 0.00221로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실질적인 공격 가능성은 낮습니다. 결과적으로 본 취약점은 정교한 커널 내부 상태 조작이 필요하므로 일반적인 외부 공격보다는 권한을 가진 내부 사용자에 의한 시스템 가용성 저해 리스크로 제한됩니다.

(1) 기술적 위험: 커널 레벨의 Deadlock 발생으로 인한 시스템 프리징 또는 패닉이 유발되어 서비스 중단(Denial-of-Service)이 발생합니다. 데이터 유출이나 권한 상승에 대한 근거는 미관측되었습니다.
(2) 비즈니스 영향: 서버 가용성 저하로 인한 서비스 중단 리스크가 존재합니다. 다만, 로컬 권한이 필요하고 EPSS 0.00221(실제 악용 가능성이 매우 낮음) 및 exploit 등급 'hard'인 점을 고려할 때, 외부 노출된 엔드포인트보다는 내부 위협이나 다중 취약점 체이닝 시의 최종 단계로 작용할 가능성이 큽니다.

추정: 본 취약점은 단독으로는 가용성 저하(DoS)만 유발하지만, 다른 권한 상승(Privilege Escalation) 취약점과 체이닝될 경우 시스템 관리자 권한을 획득한 공격자가 특정 프로세스를 무력화하거나 시스템을 강제 재부팅시켜 보안 솔루션의 일시적 공백을 만드는 시나리오로 이어질 수 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 BPF 관련 deadlock 경고, syzbot 스타일의 kernel panic 덤프, 또는 CPU 사용량이 급증하며 응답이 없는 'Hung task' 메시지를 확인합니다.
(2) 탐지 규칙 예시:

• 로직: mmap 시스템 콜 호출 빈도가 비정상적으로 높으면서 동시에 BPF map 관련 뮤텍스 대기 시간이 임계치를 초과하는 프로세스 감시.
• 의사코드: IF (process_call == "mmap" AND target_object == "bpf_map" AND lock_hold_time > THRESHOLD) THEN ALERT("Potential Deadlock Trigger");
  (3) 오탐 시나리오 및 튜닝: 대규모 BPF 기반 모니터링 도구를 사용하는 환경에서는 정상적인 mmap 호출이 빈번할 수 있습니다. 특정 사용자 계정이나 비정상적인 바이너리에 의한 호출로 범위를 제한하여 튜닝합니다.

• 즉시(긴급 차단): unprivileged_bpf_disabled 설정을 통해 일반 사용자의 BPF 접근을 제한합니다. (sysctl -w kernel.unprivileged_bpf_disabled=1). [난이도: 하 / 영향: 낮음(특수 앱 제외) / 검증: bpf() 호출 실패 확인]
• 단기(완화): 시스템 모니터링 도구를 통해 Hung task 및 커널 패닉 로그를 실시간 감시하여 이상 징후 발생 시 즉시 재부팅 및 원인 분석을 수행합니다. [난이도: 하 / 영향: 없음 / 검증: 알림 수신 테스트]
• 근본(해결): Linux 커널을 수정 버전으로 업데이트합니다. (영향 범위: 5.56.6.80, 6.76.12.17, 6.13~6.13.5 등 해당 버전 확인 후 패치 적용). [난이도: 중 / 영향: 재부팅 필요(가용성 일시 중단) / 검증: uname -r로 커널 버전 확인]

※ 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00221)와 CVSS(5.5), exploit 난이도(hard)를 근거로 규칙 기반 우선순위 'monitor'로 결정되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00221 · exploit=hard · in_scope=None