[방어] 분석 — CVE-2025-37972

• 심각도 medium · CVSS 5.5 · EPSS 0.00155 · 악용난이도 hard

(1) 트리거 조건: mtk_pmic_keys_probe 함수 실행 시, Device Tree에서 버튼 노드가 누락되어 regs 파라미터가 NULL인 상태로 전달될 때 발생합니다. 해당 포인터를 참조하려는 시도가 Null Pointer Dereference를 유발합니다.
(2) 공격 단계:

• 초기 접근: 로컬 사용자 권한 획득 (AV:L, PR:L).
• 실행: 특정 하드웨어 구성(Floating button) 환경에서 드라이버 프로브 과정 중 결함 트리거.
• 영향: 커널 패닉(Kernel Panic) 발생으로 인한 시스템 중단.
  (3) 공격 표면: mtk-pmic-keys 커널 모듈 및 관련 Device Tree 설정.
  (4) CVSS 벡터 분석: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 수준의 권한 필요), UI:N(사용자 상호작용 불필요). 즉, 로컬 권한을 가진 사용자가 특정 하드웨어 구성 환경에서 시스템을 중단시킬 수 있는 조건입니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건으로 인해, 공격자는 이미 시스템에 로그인된 상태에서 로컬 권한을 보유해야 하며 네트워크를 통한 원격 트리거는 불가능합니다. 공격 표면은 Linux 커널의 mtk-pmic-keys 드라이버 내 mtk_pmic_keys_probe 함수이며, 특정 하드웨어 구성(Device Tree에서 버튼 노드가 누락되거나 floating 상태인 경우)에서 발생하는 Null Pointer Dereference가 트리거 조건입니다. EPSS 수치가 0.00155로 매우 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 극히 드물며, 범용적인 공격보다는 특정 하드웨어 환경에 종속된 취약점임을 시사합니다. 따라서 이론적인 심각도와 별개로 일반적인 서버 환경보다는 해당 PMIC 칩셋을 사용하는 임베디드 기기에서만 제한적으로 악용 가능성이 존재합니다. 결과적으로 로컬 권한 획득이라는 전제 조건과 하드웨어 종속성으로 인해 실제 공격 성공 가능성은 매우 낮습니다.

(1) 기술적 위험: 커널 레벨에서의 Null Pointer Dereference로 인한 시스템 크래시 및 서비스 거부(DoS) 상태가 발생합니다.
(2) 비즈니스 영향: 해당 드라이버를 사용하는 임베디드 기기나 서버의 가용성이 즉각적으로 상실됩니다. 다만, 하드웨어 의존성이 높고 로컬 권한이 필요하므로 광범위한 원격 공격으로 인한 피해 가능성은 낮습니다.

추정: 단일 결함으로는 DoS에 그치지만, 커널 메모리 구조의 특성에 따라 다른 메모리 오염(Memory Corruption) 취약점과 체이닝될 경우 권한 상승(Privilege Escalation)으로 이어질 가능성이 있으나, 본 CVE의 성격상 단순 크래시 유발 가능성이 매우 높습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog, kern.log) 내에서 NULL pointer dereference 문구와 함께 mtk_pmic_keys_probe 함수 호출 스택이 포함된 Kernel Oops/Panic 메시지를 확인합니다.
(2) 탐지 규칙:

• 로직: Kmsg 또는 Syslog에서 특정 패턴 매칭
• 쿼리 예시: process.name == "kworker" AND message CONTAINS "NULL pointer dereference" AND message CONTAINS "mtk_pmic_keys_probe"
• 정규식: /NULL pointer dereference.*mtk_pmic_keys_probe/
  (3) 오탐 튜닝: 하드웨어 초기화 단계에서 발생하는 일시적인 커널 경고와 구분하기 위해, 실제 시스템 리부팅이나 서비스 중단이 동반된 Panic 로그인지를 확인하는 임계값 설정을 권장합니다.

즉시(긴급 차단): mtk-pmic-keys 모듈을 사용하지 않는 환경이라면 블랙리스트에 추가하여 로딩을 차단합니다.

• 방법: /etc/modprobe.d/blacklist.conf에 blacklist mtk_pmic_keys 추가.
• 난이도: 낮음 / 운영 영향: 해당 버튼 기능 상실 / 검증: lsmod | grep mtk_pmic_keys 결과 없음 확인.

단기(완화): Device Tree 설정을 점검하여 누락된 노드가 있는지 확인하고, 불필요한 커널 모듈의 자동 로딩을 제한합니다.

• 난이도: 중간 / 운영 영향: 낮음 / 검증: 부팅 로그에서 프로브 에러 여부 확인.

근본(해결): 취약점이 해결된 최신 Linux 커널 버전으로 업데이트합니다. (영향 제품 범위: 6.06.1.139, 6.26.6.91, 6.76.12.29, 6.136.14.7 등)

• 난이도: 높음(커널 업데이트 및 리부팅 필요) / 운영 영향: 시스템 재시작으로 인한 일시적 중단 / 검증: uname -r로 패치 버전 확인.

[파이프라인 근거] 본 분석은 다중 소스 간 데이터 일관성이 확인되어 신뢰도 1.0으로 작성되었습니다. EPSS 실측값(0.00155)과 낮은 백분위(0.05115), 그리고 AV:L/PR:L의 제약 조건을 근거로 실제 악용 가능성이 매우 낮음(hard)을 확인하였으며, 이에 따라 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00155 · exploit=hard · in_scope=None