[분석가] 분석 — CVE-2024-42079

• 심각도 medium · CVSS 5.5 · EPSS 0.00268 · 악용난이도 hard

• 로컬 권한을 가진 프로세스가 GFS2 파일시스템을 마운트 해제하거나 glock 작업이 진행 중일 때, gfs2_log_flush() 가 sdp->sd_jdesc 를 NULL 상태에서 역참조함으로써 커널 패닉을 유발합니다.
• 이 취약점은 특수한 레이스 상황(예: glock_work_func → run_queue → do_xmote → inode_go_sync → gfs2_log_flush)에만 발동되며, 원격 공격자는 직접 이용하기 어렵습니다.

악용 가능성: 이 취약은 AV:L 로 로컬 환경에서만 발생하므로 원격 공격자는 직접 접근할 수 없으며, AC:L 은 복잡도가 낮아 동일 시스템 내에서 적절한 조건을 갖춘 경우 비교적 쉽게 재현됩니다. PR:L 로 요구되는 권한 수준이 낮아 일반 사용자 계정이라도 커널 모듈이 로드된 상태에서 GFS2 파일시스템을 마운트·언마운트할 수 있으면 공격이 가능하다는 의미입니다. UI:N 은 사용자의 추가적인 행동 없이도 코드 흐름( glock_work_func → gfs2_log_flush )이 자동으로 진행되므로, 트리거는 “unmount 중에 남아 있는 glock 작업”이라는 특정 레이스 상황에 국한됩니다. EPSS 값 0.00268 은 현재 관측된 실제 악용 사례가 매우 드물다는 것을 보여주지만, KEV 에 등재되지 않은 점은 아직 야생 공격이 보고되지 않았음을 의미합니다. 따라서 공격 표면은 GFS2 파일시스템을 사용하는 Linux 커널(특히 해당 파일시스템을 마운트한 시스템)과 그에 연관된 로그 플러시·언마운트 루틴이며, 이를 이용하려면 로컬에서 해당 파일시스템을 제어할 수 있는 환경이 필요합니다. 이러한 조건들을 종합하면 난이도는 “hard” 로 평가되며, 실제 악용 가능성은 낮지만 내부 위협 시나리오에서는 주의가 요구됩니다.

• 기술적 위험

  • NULL 포인터 역참조로 인한 커널 패닉 → 시스템 다운(가용성 손실)
  • 데이터 손실 가능성은 낮으며, 권한 상승이나 정보 유출은 발생하지 않음(C: N, I: N).

• 비즈니스 리스크

  • 서비스 중단에 따른 SLA 위반 및 운영 비용 증가.
  • 가용성이 중요한 인프라(예: 클라우드 스토리지, 고가용성 클러스터)에서 재시작 지연이 비즈니스 연속성을 저해할 수 있음.

• 노출 규모

  • 영향을 받는 제품: linux linux_kernel < 6.6.37, linux linux_kernel 6.7‑6.9.8.
  • 해당 커널 버전을 사용하는 시스템이라면 모두 잠재적 대상이며, 다중 소스에서 일관성이 확인돼(교차검증) 취약점 존재가 확정되었습니다.

• 현재 알려진 직접적인 체이닝 CVE는 없으며, 이 결함은 GFS2 내부 레이스 조건에 국한됩니다.
• 다만, 동일 파일시스템(GFS2)의 다른 메모리 관리 버그와 조합될 경우 시스템 불안정성을 가중시킬 수 있습니다.

• 커널 로그(dmesg, /var/log/kern.log)에서 gfs2_log_flush 관련 NULL pointer dereference 또는 Oops 메시지가 발생하는지 모니터링합니다.
• Crash dump 분석 시 sdp->sd_jdesc 가 NULL 인 상태에서 역참조된 스택 트레이스를 확인하면 탐지가 가능합니다.
• 시스템 콜 추적(auditd, eBPF)을 통해 GFS2 마운트/언마운트와 glock 작업이 동시에 진행되는 패턴을 감시합니다.

• 즉시 조치: 최신 커널 패치를 적용하여 6.6.37 이상 또는 6.7‑6.9.8 버전으로 업데이트합니다.
• 임시 방편: GFS2 파일시스템을 사용 중인 경우, 마운트·언마운트를 동시에 수행하지 않도록 운영 정책을 강화하고, 필요 시 해당 파일시스템을 일시적으로 비활성화합니다.
• 장기 대응: 커널 업데이트 자동화와 취약점 모니터링 체계를 구축해 향후 유사한 레이스 조건 기반 버그에 대비합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00268 · exploit=hard · in_scope=None