[분석가] 분석 — CVE-2026-43011

• 심각도 critical · CVSS 9.8 · EPSS 0.00591 · 악용난이도 moderate

X.25 프로토콜 패킷 수신 과정에서 메모리 해제가 중복으로 발생하는 Memory-Corruption 취약점입니다.

1. 촉발 경로: x25_queue_rx_frame 함수 내에서 alloc_skb가 실패할 경우, 내부적으로 kfree_skb(skb)를 호출하고 에러 값(1)을 반환합니다.
2. 전파 단계: 이 에러 값이 x25_state3_machine $\rightarrow$ x25_process_rx_frame으로 전달되며, 최종적으로 x25_backlog_rcv 함수가 수신 결과(queued=0)를 확인합니다.
3. 취약점 발생: x25_backlog_rcv에서 이미 해제된 skb에 대해 다시 kfree_skb(skb)를 호출하여 Double-Free 상태가 됩니다.
4. 결과: 추정: 공격자가 Slab Allocator의 Heap Layout을 정밀하게 조작할 수 있다면, 해제된 메모리 슬롯을 재사용하여 커널 권한으로 임의 코드를 실행하거나 시스템을 크래시(DoS) 시킬 수 있습니다.

악용 가능성: 본 취약점은 Linux kernel의 X.25 프로토콜 스택에서 발생하는 double free 결함으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 네트워크를 통해 인증 없이 원격에서 트리거가 가능하며, 특히 x25_queue_rx_frame 함수 내 메모리 할당 실패 시 발생하는 잘못된 반환 값 처리 경로가 공격 표면이 됩니다. 구체적으로는 X.25 프로토콜 엔드포인트로 조작된 패킷을 전송하여 skb(socket buffer)의 중복 해제를 유도함으로써 커널 패닉이나 임의 코드 실행을 시도할 수 있습니다. 다만, EPSS 수치가 0.00591로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 실제 야생에서의 악용 사례가 거의 없음을 시사합니다. 이는 X.25 프로토콜 자체가 현대 네트워크 환경에서 극히 제한적으로 사용되는 레거시 프로토콜이라는 특성 때문에 이론적 심각도와 별개로 실질적인 공격 노출 면이 좁기 때문입니다. 결과적으로 공격 조건은 단순하지만, 타겟 시스템이 X.25 스택을 활성화하여 외부로 노출하고 있어야 한다는 전제조건이 악용 가능성을 낮추는 핵심 요인입니다.

• 영향 제품 및 규모: Linux Kernel 2.6.12.1부터 6.19.12까지 광범위한 버전에 걸쳐 영향을 미칩니다. 다중 소스 데이터에서 일관성이 확인된(신뢰도 1.0) 정보이며, 영향 받는 버전이 매우 다양하여 공급망 관점의 노출 규모가 매우 큽니다.
• 기술적 위험:
  • 시스템 장악 (RCE): CVSS 9.8 및 벡터 AV:N/AC:L/PR:N/UI:N에 따라 원격 네트워크 공격자가 특수하게 조작된 X.25 패킷을 전송하여 커널 권한을 획득할 위험이 있습니다.
  • 서비스 중단 (DoS): 메모리 오염으로 인한 Kernel Panic 유발 시 시스템 가용성이 즉각 상실됩니다.
• 비즈니스 리스크:
  • 가용성 저해: 커널 레벨의 취약점으로 인해 서버 전체가 다운될 수 있으며, 이는 서비스 연속성 계획(BCP)에 심각한 영향을 줍니다.
  • 데이터 무결성 파괴: 최고 권한(Root/Kernel) 탈취 시 시스템 내 모든 데이터에 접근 및 수정이 가능해집니다.

• 유형 연계: Memory-Corruption 계열의 전형적인 Double-Free 패턴입니다.
• 체이닝 가능성: 추정: 단독으로 RCE를 달성하기 위해 커널 힙 스프레이(Heap Spray) 기법과 체이닝될 가능성이 높습니다.

• 커널 로그 감시: kfree_skb 중복 호출로 인한 Kernel Panic, Slab corruption 관련 로그(slab-out-of-bounds, double free)를 실시간 모니터링합니다.
• 네트워크 트래픽: 외부에서 유입되는 X.25 프로토콜(비표준/레거시) 트래픽의 급증 및 비정상적인 패킷 구조를 탐지합니다.

• 근본 해결: 영향 범위에 포함된 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트합니다.
• 즉시 조치 (임시): X.25 프로토콜을 사용하지 않는 환경이라면 modprobe 등을 통해 x25 모듈을 블랙리스트에 추가하여 공격 표면을 제거합니다.
  • 주의: 실제 서비스 중인 경우 가용성 장애가 발생하므로 트래픽 로그 확인 후 적용하십시오.
• 우선순위 근거: CVSS 9.8의 치명적 심각도에도 불구하고, 실측 EPSS(0.00591)와 KEV 미등재 상태를 반영하여 scheduled(이번 주 내) 수준으로 대응 리소스를 배정합니다. 이는 이론적 위험도는 높으나 실제 야생 악용 관측 빈도는 낮음을 의미합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00591 · exploit=moderate · in_scope=None