[분석가] 분석 — CVE-2025-21795

• 심각도 medium · CVSS 5.5 · EPSS 0.0023 · 악용난이도 hard

(1) 트리거 조건: nfs4_client가 courtesy state인 상태에서 nfsd4_shutdown_callback이 호출될 때, cl_cb_inflight 값이 0이 되지 않아 프로세스가 대기 상태(hang)에 빠지는 결함입니다.
(2) 공격 단계:

• 정찰: 대상 시스템의 Linux 커널 버전 및 NFS 서비스 활성화 여부 확인.
• 초기 접근: 로컬 권한(PR:L)을 가진 사용자로 시스템 접속.
• 실행: 특정 조건(courtesy state)을 유도하여 NFSD 셧다운 콜백 트리거.
• 영향: nfsd4_shutdown_callback이 약 15분간 hang 상태 유지 (TCP 연결 드롭 통보 전까지).
  (3) 공격 표면: Linux 커널 내 NFSD(NFS Server Daemon) 모듈 및 RPC 콜백 메커니즘.
  (4) CVSS 벡터 분석: AV:L/AC:L/PR:L/UI:N에 따라, 네트워크 외부가 아닌 로컬에서 권한을 가진 사용자가 특별한 사용자 상호작용 없이 낮은 복잡도로 트리거 가능함을 의미합니다.

악용 가능성: 본 취약점은 Linux kernel의 NFSD(NFS Server) 구성 요소에서 발생하는 서비스 거부(DoS) 위험으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 대한 로컬 접근 권한과 최소 수준의 사용자 권한을 이미 확보한 상태여야 하며, UI:N으로 사용자 상호작용 없이 트리거됩니다. 공격 표면은 NFSD의 콜백 메커니즘 및 nfsd4_shutdown_callback 함수와 관련된 네트워크 프로토콜 스택이며, 특히 nfs4_client가 'courtesy state'인 상태에서 RPC 호출이 시도될 때 발생하는 락(hang) 현상이 트리거 조건입니다. EPSS 수치가 0.0023으로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 능동적인 악용 사례가 미관측되었음을 시사합니다. 따라서 이론적인 심각도보다는 로컬 권한을 가진 내부 위협자가 시스템 가용성을 저해하기 위해 시도할 가능성이 높은 제한적인 시나리오에 해당하며, 실질적인 외부 침투 경로로 활용될 가능성은 낮습니다.

(1) 기술적 위험: 서비스 가용성 저하(Denial of Service). NFSD의 특정 함수가 hang 상태에 빠짐으로써 NFS 관련 작업이 지연되거나 중단될 수 있습니다.
(2) 비즈니스 영향: NFS를 통해 스토리지 서비스를 제공하는 서버의 경우, 일시적인 응답 불가 상태로 인해 해당 스토리지를 사용하는 클라이언트 애플리케이션의 타임아웃 및 서비스 장애가 발생할 수 있습니다. 다만, CVSS 5.5 및 medium 심각도로 볼 때 전체 시스템 장악이나 데이터 유출 위험은 없습니다.

• 추정: 본 취약점은 단독으로 권한 상승을 일으키지는 않으나, 서비스 거부(DoS) 상태를 이용하여 시스템 관리자가 강제 재부팅을 수행하게 함으로써 다른 부팅 시점의 취약점을 이용하는 체이닝 패턴이 가능할 수 있습니다.
• 추정: 커널 내 리소스 고갈이나 데드락 유발 유형의 결함과 결합하여 가용성 파괴 효과를 극대화하는 방향으로 체이닝될 가능성이 있습니다.

(1) 로그 지표: 커널 로그(dmesg, /var/log/syslog) 내 NFSD 관련 타임아웃 또는 RPC 콜백 대기 관련 경고 메시지 확인.
(2) 탐지 규칙 예시:

• 로직: ps 또는 top 명령어를 통해 nfsd 프로세스가 장시간 'D' state(uninterruptible sleep)로 머물며 CPU/메모리 점유 없이 정체되는 현상 모니터링.
• 의사코드: IF process == "nfsd" AND state == "D" AND duration > 300s THEN alert("Potential NFSD Hang detected")
  (3) 오탐 시나리오 및 튜닝: 네트워크 불안정으로 인한 실제 TCP 타임아웃 대기 시간과 구분해야 합니다. 단순 지연이 아닌, 특정 커널 함수(nfsd4_shutdown_callback)에서의 정체 여부를 확인하는 커널 프로파일링 도구(eBPF 등)를 병행하여 튜닝합니다.

• 즉시(긴급 차단): 불필요한 NFS 서버 기능 비활성화 및 신뢰할 수 없는 로컬 사용자의 시스템 접근 권한 제한 (난이도: 하 / 영향: 낮음 / 검증: systemctl status nfs-server).
• 단기(완화): TCP Keepalive 설정을 조정하여 연결 드롭 통보 시간을 단축함으로써 hang 지속 시간을 줄임 (난이도: 중 / 영향: 네트워크 트래픽 미세 증가 / 검증: sysctl 설정 확인).
• 근본(해결): 영향 범위에 포함된 커널 버전을 패치된 최신 버전으로 업데이트.
  • 대상: Linux kernel 5.10.236+, 5.15.180+, 6.1.130+, 6.6.80+, 6.12.17+, 6.13.5+ (추정: 패치 적용 버전 기준)
  • (난이도: 상 / 영향: 시스템 재부팅 필요 / 검증: uname -r로 커널 버전 확인).

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.0023)와 CVSS(5.5), 그리고 AV:L/PR:L 등의 벡터를 종합하여 규칙 기반으로 우선순위를 monitor로 결정하였습니다. 특히 EPSS 수치가 매우 낮아 실제 야생에서의 악용 가능성이 희박함을 근거로 하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0023 · exploit=hard · in_scope=None