[공격] 분석 — CVE-2025-21760

• 심각도 high · CVSS 8.1 · EPSS 0.33417 · 악용난이도 moderate

• 공격 표면: 모든 IPv6 인터페이스에서 동작하는 Linux 커널의 Neighbor Discovery 처리 경로, 특히 ndisc_send_skb() 함수가 호출되는 순간.
• 트리거 조건: 옵션 길이가 비정상적으로 크거나 형식이 잘못된 ICMPv6 ND 패킷(라우터 광고·근접 통지 등)을 전송하면 rcu_read_lock() 없이 dev_net_rcu() 가 사용돼 skb 가 해제 후 재사용되는 Use‑After‑Free가 발생한다.
• 공격 흐름
  1. 정찰 – 대상 호스트에 IPv6·ND가 활성화됐는지 ICMPv6 Echo/RA 요청으로 확인.
  2. 초기 접근 – 조작된 ND 패킷을 네트워크에 전송(AV:N). 복잡도 AC:H 로 힙 레이아웃 예측·RCU 보호 회피가 필요함.
  3. 실행·권한 획득 – 해제된 skb 구조체에 공격자가 제어 가능한 데이터를 삽입하고, 커널이 이를 역참조하면서 임의 코드 실행 → 루트 권한 확보.
  4. 지속 – 루트 쉘을 이용해 systemd 서비스 파일 수정·cron 작업 삽입 등 영구화.
• CVSS ↔ 실제 조건 매핑: AV:N 은 원격 전송만으로 충족, AC:H 는 정확한 메모리 레이아웃 조작 필요, PR:N·UI:N 은 인증·사용자 개입 없이 진행 가능함을 의미한다.
• EPSS 0.33417 (moderate) 은 다중 소스 교차검증 결과 실전 악용 확률이 약 33 % 수준임을 보여준다.

악용 가능성: 이 취약점은 네트워크를 통해 ICMPv6 Neighbor Discovery(IPv6 ND) 패킷을 전송하면 트리거될 수 있으나, ndisc_send_skb()가 RTNL 또는 RCU 보호 없이 호출되는 상황을 만들기 위해서는 정확한 타이밍과 특정 커널 설정(예: CONFIG_IPV6 활성화)이 필요하므로 복잡도 AC:H 에 해당합니다. 공격자는 대상 시스템의 커널 버전 및 ND 처리 루틴이 활성화돼 있는지를 사전 탐색(리콘)하고, 조작된 ICMPv6 NS/RA 패킷을 네트워크 상에서 직접 전송함으로써 권한 없이(PR:N) 실행 단계에 진입합니다. 패킷이 dev_net_rcu()를 사용해 RCU‑read‑lock 없이 진행될 경우, 내부 포인터가 해제된 뒤 재사용(UAF)되어 커널 메모리 손상이 발생하고, 성공 시 루트 권한 획득이 가능하므로 영향은 심각합니다. 그러나 RCU 동기화와 패킷 순서·타이밍을 정확히 맞춰야 하므로 실제 공격 구현 난이도는 높으며, 이는 CVSS AC:H가 반영된 이유이며 EPSS 0.33417이라는 중간값에서도 확인됩니다(실제 악용 사례는 아직 보고되지 않았지만, 확률이 33% 수준으로 존재함). KEV에 등재되지 않은 점은 현재까지 공개적인 공격 코드나 대규모 악용이 발견되지 않았음을 의미하지만, 네트워크 노출된 ICMPv6 엔드포인트가 그대로 존재한다면 잠재적 위협은 여전히 존재합니다. 따라서 이 취약점의 난이도는 “moderate”로 평가되며, 공격 표면은 IPv6 ND 처리 루틴과 해당

• 성공 시 커널 메모리 손상 → 임의 코드 실행, 시스템 전체 장악, 데이터 탈취·변조, 서비스 중단 등 모든 CIA 요소에 치명적 위협.
• IPv6를 사용하거나 라우터/게이트웨이 역할을 하는 서버는 외부 네트워크에서 직접 공격받을 위험이 특히 높다.

• CWE‑416 (Use‑After‑Free) – 동일 메모리 해제 후 재사용 패턴은 netfilter, Bluetooth 등 다른 커널 서브시스템에서도 발견됨.
• 추정: 커널 주소 공간 레이아웃 누출(CVE‑xxxx‑xxxx)과 결합하면 힙 위치 예측 정확도가 상승해 AC:H 난이도를 실질적으로 낮출 수 있다.
• 추정: netlink 기반 권한 상승 취약점과 연계하면, ndisc_send_skb 로 커널 메모리를 손상시킨 뒤 netlink 메시지 조작으로 사용자 공간 루트 쉘을 얻는 다단계 체인이 가능하다.

• dmesg·/var/log/kern.log 에 use after free 혹은 rcu 경고가 기록되는 경우.
• 비정상적으로 큰 옵션(> 256 B) 또는 알 수 없는 타입을 가진 ICMPv6 ND 패킷이 다량 유입될 때 IDS/IPS 시그니처(icmpv6 nd malformed) 로 탐지.
• Netfilter 로그에서 RA/NS 가 비정상적인 인터페이스에서 연속적으로 발생하면 경보 생성.

1. 패치 적용 – CVE-2025-21760가 포함된 최신 커널(2.6.26‑5.4.291, 5.5‑5.10.235, 5.11‑5.15.179, 5.16‑6.1.129, 6.2‑6.6.79, 6.7‑6.12.16, 6

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=0.33417 · exploit=moderate · in_scope=None