[단독분석] 분석 — CVE-2026-23087

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

로컬 사용자가 Xen 환경에서 SCSI 디바이스를 제거하거나 scsiback_probe() 오류 경로를 강제하면, scsiback_remove()가 할당된 struct vscsiblk_info 를 해제하지 않아 커널 메모리가 지속적으로 누수됩니다. 반복적인 디바이스 추가·삭제 동작을 통해 커널 힙이 고갈되면 OOM 상태에 도달해 시스템이 강제 재부팅되거나 서비스가 중단될 수 있습니다.

악용 가능성: 이 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N 로 평가되므로 공격자는 로컬 권한을 이미 보유하고 있어야 하며, 복잡도는 낮지만 사용자 개입 없이도 실행할 수 있습니다. 따라서 일반 사용자가 원격에서 직접 악용하기는 어렵고, 주된 공격 전제조건은 해당 시스템에 루트 혹은 커널 수준 접근이 가능한 상태입니다. EPSS 0.00123 은 실제 악용 가능성이 매우 낮다는 통계적 근거를 제공하며, KEV(가장 활발히 악용되는 취약점) 리스트에도 등재되지 않아 현재까지 야생에서 관측된 사례는 없습니다. 공격 표면은 Linux 커널의 scsi xen 드라이버 내부에 존재하는 scsiback_probe()‑scsiback_remove() 경로이며, 노출되는 엔드포인트는 SCSI 디바이스 초기화·제거 과정에서 호출되는 내부 함수뿐입니다. 따라서 공격자는 해당 시스템에 물리적 접근하거나, 악성 커널 모듈을 로드할 수 있는 상황이어야만 메모리 누수를 유발해 서비스 거부(DoS) 혹은 잠재적인 권한 상승을 시도할 수 있습니다. 요약하면, 로컬 특권이 이미 확보된 경우에 한정된 낮은 복잡도의 공격이며, 외부에서의 직접 악용 가능성은 매우 제한적이라고 판단됩니다.

• 기술적 위험: 메모리 누수는 커널 레벨에서 발생하므로, 최종적으로는 A:H (Availability High) 영향을 미칩니다. 데이터 유출·무결성 침해는 보고되지 않았으며, 메모리 고갈에 따른 서비스 중단이 주요 결과입니다.
• 영향 제품 및 노출 규모: 다수의 커널 라인(3.18‑5.10.249, 5.11‑5.15.199, 5.16‑6.1.162, 6.2‑6.6.122, 6.7‑6.12.68, 6.13‑6.18.8)에서 존재하므로, 해당 버전을 운영 중인 서버·컨테이너·클라우드 인프라 전반에 광범위하게 노출됩니다. [교차검증] 다중 소스에서 일관성이 확인되었습니다.
• 비즈니스 리스크: 서비스 가용성 저하로 SLA 위반, 클라우드 멀티‑테넌시 환경에서는 한 테넌트의 공격이 다른 테넌트에 연쇄적인 다운타임을 초래할 수 있습니다. 규제·컴플라이언스 측면에서는 가용성 요구사항(예: ISO 27001 A.12.1) 위반 위험이 존재합니다.
• 악용 가능성: EPSS = 0.00123, 백분위 = 0.0244 로 낮은 편이며, [실측 악용예측]에 따르면 “hard” 난이도로 평가되었습니다. 이는 실제 공격 시도가 드물지만, 로컬 권한을 가진 내부 위협 또는 악성 스크립트가 반복적인 디바이스 조작을 수행할 경우 실현 가능함을 의미합니다.

메모리 누수 패턴은 다른 커널 드라이버(예: usb, net)에서도 보고된 바 있어, 동일한 메모리 관리 오류와 결합될 경우 로컬 권한 상승(LPE) 혹은 커널 패닉을 유발하는 체이닝이 이론적으로 가능하지만 현재 확인된 CVE는 없습니다.

• dmesg·/var/log/kern.log에서 "vscsiblk_info" 할당 실패 또는 OOM 메시지를 모니터링합니다.
• slabtop 혹은 cat /proc/slabinfo 로 vscsiblk_info 슬랩 캐시 사용량 급증을 감지합니다.
• Auditd 규칙 예시: auditctl -a always,exit -F arch=b64 -S kmalloc -F exe=/usr/src/linux/drivers/scsi/xen/scsiback.c -k scsiback_leak

1. 패치 적용: 배포된 최신 커널(각 시리즈에서 최소 3.18‑5.10.249 → patch, 5.11‑5.15.199 → patch 등)으로 업데이트하고, 패키지 매니저가 제공하는 보안 업데이트를 즉시 적용합니다.
2. 임시 방어: 운영 중인 Xen 환경에서 SCSI 디바이스의 빈번한 hot‑remove/plug 를 제한하고, 필요 시 해당 디바이스를 고정(offline) 상태로 유지합니다.
3. 재부팅 및 메모리 정리: 패치 적용 후 시스템 재부팅을 수행해 누수된 커널 메모리를 회복합니다.
4. 관찰 강화: 위 탐지 지표를 SIEM에 연계하여 이상 징후가 포착될 경우 즉시 알림을 설정하고, 필요 시 해당 호스트를 격리합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None