[방어] 분석 — CVE-2025-71265

• 심각도 medium · CVSS 5.5 · EPSS 0.00121 · 악용난이도 hard

본 취약점은 ntfs3 파일 시스템 드라이버의 메타데이터 처리 로직 결함으로 인해 발생합니다.

1. 트리거: 특수하게 조작된(Malformed) NTFS 이미지 내의 속성 헤더와 디렉터리 엔트리 간에 불일치(Inconsistency)를 생성합니다.
2. 경로: run_unpack() 함수가 빈 런 리스트(evcn=-1, svcn=0)를 확인하고 성공을 반환하지만, 실제 데이터 로드는 이루어지지 않아 runs_tree가 초기화되지 않은 상태(NULL)로 남습니다.
3. 단계: 이후 호출되는 attr_load_runs_range()와 run_lookup_entry()가 초기화되지 않은 트리 구조를 참조하며 무한 루프(Infinite Loop)에 진입합니다.

악용 가능성: 본 취약점의 공격 난이도는 Hard이며, 실제 악용 가능성은 낮은 수준으로 판단됩니다. CVSS 벡터상 AV:L 및 PR:L 조건은 공격자가 이미 시스템 내부에 저권한 계정으로 접근해 있어야 함을 의미하며, 외부에서 직접 트리거할 수 없는 로컬 공격 표면을 가집니다. 공격자는 특수하게 조작된(Malformed) NTFS 이미지 파일을 생성하여 시스템에 마운트시켜야 하며, 이 과정에서 ntfs3 파일 시스템 드라이버의 attr_load_runs_range 함수가 일관성 없는 메타데이터를 처리할 때 발생하는 Infinite Loop를 유도해 DoS 상태를 일으킵니다. EPSS 수치가 0.00121로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 결과적으로 공격자가 정교하게 조작된 NTFS 볼륨을 타겟 시스템에 물리적/논리적으로 연결시켜 마운트를 강제해야 한다는 전제조건 때문에 실질적인 위협 수준은 이론적 심각도보다 낮습니다.

• 가용성 상실 (DoS): CPU 점유율이 급증하며 시스템 커널이 응답하지 않는 상태가 됩니다.
• 범위: CVSS 벡터 AV:L/PR:L에 따라 로컬 권한을 가진 사용자가 조작된 NTFS 이미지를 마운트할 수 있는 환경에서 트리거됩니다.

• 유형: 파일 시스템 파서(Parser)의 정수 처리 및 상태 관리 미흡으로 인한 DoS 패턴입니다.
• 체이닝: 단독으로는 권한 상승이나 정보 유출을 일으키지 않으나, 다른 로컬 권한 상승(LPE) 취약점과 결합하여 시스템 전체를 마비시키는 가용성 공격의 수단으로 활용될 가능성이 있습니다.

본 취약점은 커널 내부 루프이므로 일반적인 애플리케이션 로그에는 남지 않습니다. 시스템 리소스 지표와 커널 덤프/로그를 통해 추적해야 합니다.

• 탐지 지표:

  • 특정 프로세스(마운트 관련)의 CPU 사용량이 단일 코어에서 100%로 고정되는 현상.
  • dmesg 또는 /var/log/syslog 내에 ntfs3 관련 에러나 커널 패닉 직전의 스택 트레이스 확인.

• 탐지 규칙 예시:

  • SIEM 쿼리 (의사코드):
    SELECT host, process_name FROM kernel_metrics WHERE process_name = 'mount' AND cpu_usage > 95% FOR 5m AND filesystem_type = 'ntfs3'
  • 커널 스택 모니터링: addr2line 또는 gdb를 통해 커널 스택에 attr_load_runs_range 및 run_lookup_entry 함수가 반복적으로 나타나는지 확인.

• 오탐 튜닝:

  • 대용량 NTFS 볼륨 마운트 시 일시적인 CPU 상승이 있을 수 있으나, 본 취약점은 '무한 루프'이므로 시간이 지나도 CPU 사용량이 떨어지지 않고 고정되는 특성을 가집니다. 임계 시간을 5분 이상으로 설정하여 튜닝하십시오.

다중 소스 데이터 일관성이 확인되었으며, EPSS 수치가 0.00121로 낮고 exploit 등급이 hard인 점, KEV에 미등재된 점을 근거로 우선순위를 monitor로 결정하였습니다. 하지만 영향 범위가 광범위하므로 다음 조치를 권장합니다.

• 즉시 (긴급 차단): 신뢰할 수 없는 외부 NTFS 저장매체(USB, 외장하드 등)의 마운트를 금지하거나 ntfs3 모듈 로드를 일시적으로 제한합니다.

  • 구현 난이도: 낮음 / 운영 영향: 높음 (NTFS 사용 불가) / 검증 방법: modprobe -r ntfs3 실행 후 마운트 시도 시 실패 확인.

• 단기 (완화): 커널 파라미터 또는 보안 정책(SELinux/AppArmor)을 통해 일반 사용자의 mount 권한을 엄격히 제한하여 공격 벡터(AV:L, PR:L)를 차단합니다.

  • 구현 난이도: 중간 / 운영 영향: 낮음 (관리자 외 마운트 불가) / 검증 방법: 비특권 계정으로 NTFS 마운트 시도 시 Permission denied 확인.

• 근본 (해결): 영향받는 커널 버전(5.15 ~ 6.19 일부)을 최신 패치 버전으로 업데이트합니다.

  • 구현 난이도: 중간 / 운영 영향: 중간 (재부팅 필요) / 검증 방법: uname -r 명령어로 패치 이후 버전 확인.

잔여 리스크: 패치 후에도 다른 파일 시스템 파서의 유사한 로직 결함으로 인한 DoS 위험은 여전히 존재하므로, 커널 수준의 샌드박싱이나 모듈 제한 정책 유지를 권장합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00121 · exploit=hard · in_scope=None