[공격] 분석 — CVE-2025-21676

• 심각도 high · CVSS 7.5 · EPSS 0.00423 · 악용난이도 moderate

• 공격 표면
  • fec Ethernet 드라이버 (net:fec) 로드된 커널 6.1 ~ 6.12.11
  • fec_enet_update_cbd() 내부에서 page_pool_dev_alloc_pages() 호출 시 반환값을 검증하지 않음 → NULL 포인터 역참조
• 트리거 조건
  1. 시스템에 메모리 압박이 발생할 때(vm.min_free_kbytes 이하로 메모리가 감소)
  2. 동시에 fec 인터페이스를 통해 패킷 전송(예: SMB share에 파일 쓰기, 대량 UDP/TCP 전송)
• 공격 흐름
  • 정찰: lsmod | grep fec 로 드라이버 존재 확인, /proc/net/dev 에서 인터페이스 명 파악
  • 초기 접근: 일반 사용자 권한으로 메모리 할당/해제 루프(예: stress --vm 2 --vm-bytes 90%)와 동시에 네트워크 I/O(예: dd if=/dev/zero of=/mnt/smb/file bs=1M count=1024 conv=fdatasync) 실행
  • 실행: 메모리 부족 상황에서 page_pool_dev_alloc_pages() 가 NULL 반환 → WARN_ON 트리거 후 커널이 NULL 페이지를 사용해 OOPS 발생
  • 영향: 커널 패닉 → 시스템 재부팅(DoS)·서비스 중단; 추가적인 권한 상승은 제공되지 않음
• CVSS 연결: AV = Network, AC = Low, PR = None, UI = None – 실제 공격 조건과 일치함(원격 메모리 압박이 가능하면 로컬 수준에서도 동일하게 적용).

악용 가능성: 이 취약점은 네트워크를 통해 직접 접근할 수 있는(AV:N) Linux 커널의 fec 이더넷 드라이버에 존재하므로, 공격자는 별도의 권한(PR:N)이나 사용자의 동작(UI:N)이 필요 없이 원격에서 시도할 수 있습니다. 메모리 압박 상황에서 페이지 풀 할당(page_pool_dev_alloc_pages)이 NULL을 반환해도 오류를 처리하지 않고 그대로 사용하기 때문에, 대량의 패킷 전송·SMB 파일 쓰기와 같이 드라이버가 지속적으로 메모리를 요청하도록 유도하면 커널 크래시를 발생시킬 수 있습니다. 실제로 imx6q 기반 시스템에서 SATA HDD에 SMB 공유 파일을 기록할 경우 재현이 가능하다는 보고가 있으므로, 트리거 조건은 “메모리 부족 + 고빈도 패킷/IO 요청”이라고 볼 수 있습니다. 공격 표면은 fec 드라이버가 처리하는 Ethernet 프레임과 관련 IOCTL·netdev ops 함수이며, 외부에서 전송되는 임의 길이·패턴의 패킷이 할당 경로를 호출하도록 설계될 수 있습니다. EPSS 0.00423이라는 값은 현재까지 대규모 악용 사례는 드물지만(KEV 미등재), 실제 환경에서 메모리 압박을 조작할 경우 성공 확률이 완전히 무시할 수준은 아니라는 것을 의미합니다. 따라서 공격 난이도는 낮으며(Low Complexity) 네트워크 접근만 확보하면 충분히 실현 가능한 중간 위험(moderate) 수준으로 평가됩니다.

• 커널 OOPS 발생 → 시스템 전체 재부팅(서비스 가용성 상실)
• Crash 로그에 BUG: unable to handle kernel null pointer dereference 와 함께 fec_enet_update_cbd 스택이 남음
• 공격자는 물리적 접근 또는 로컬 계정만으로도 서비스 중단을 야기할 수 있음(특히 임베디드/IoT 장비에서 심각)

• 유형: NULL 포인터 역참조 (CWE‑476) → 커널 패닉 → DoS
• 가능한 체인
  • 메모리 압박을 유도하는 다른 로컬 DoS(예: fork bomb, stress-ng)와 결합해 트리거 확률 상승
  • KASAN/KASLR 비활성화 시스템에서 동일 취약점이 바로 커널 패닉으로 이어지므로, KASAN이 켜진 경우에는 프로세스 종료로 완화될 수 있음(※ KASAN 활성화는 별도 방어)
  • SELinux/AppArmor 정책 미적용 시 ioctl 로드된 드라이버에 대한 제한이 없으므로, 권한 없는 사용자가 직접 FEC 장치 파일을 열고 I/O를 수행 가능 → 체인 강화

• 커널 로그(dmesg) 혹은 syslog 에서
  • WARN_ON(!new_page) 뒤 바로 나타나는 BUG: unable to handle kernel null pointer dereference at ... fec_enet_update_cbd
  • OOPS 발생 시 panic 메시지와 재부팅 전후의 kernel: [<...>] 로그
• eBPF 프로그램으로 page_pool_dev_alloc_pages() 반환값이 NULL인 경우를 실시간 알림(예: bpftrace 'kprobe:page_pool_dev_alloc_pages /retval == 0/ { printf("NULL page allocation from %s\n", comm); }')

• 즉시
  • 해당 커널 버전에 포함된 패치를 적용(패치에서 NULL 반환을 검사하고 패킷 드롭)
  • vm.min_free_kbytes 값을 현재 메모리 구성에 맞게 상향 조정하여 일반적인 압박 상황 회피
  • 사용되지 않는 경우 modprobe -r fec 로 FEC 드라이버 언로드 또는 빌드 옵션(CONFIG_FEC=n)으로 비활성화
• 근본
  • 커널 모듈 서명 정책 및 SELinux/AppArmor 로 fec 장치에 대한 접근을 제한(읽기/쓰기·ioctl 차단)
  • KASAN·KASLR, CONFIG_DEBUG_SLAB 등 메모리 안전 옵션 활성화 → NULL 역참조 시 프로세스 종료로 영향 축소
  • cgroup‑based memory quota 설정으로 단일 사용자/컨테이너가 전체 시스템 메모리를 고갈시키지 못하도록 제한

근거: 다중 소스에서 일관성이 확인됐으며([교차검증] ‘다중 소스에서 일관성이 확인됐다’), EPSS 0.00423(실제 악용 가능성은 낮지만 무시할 수 없는 수준)·CVSS 7.5·비‑KEV 상태를 고려해 이번 주 내 ‘scheduled’ 대응으로 우선순위가 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.5 · non-KEV · EPSS=0.00423 · exploit=moderate · in_scope=None