[분석가] 분석 — CVE-2026-23113

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

• 경로: 로컬 권한을 가진 사용자가 io_uring 인터페이스를 통해 대량의 I/O 요청을 생성하여 촉발됩니다.
• 원리: /dev/msr*와 같이 read_iter()를 지원하지 않는 파일에 대해 매우 큰 크기(예: 2GB)의 읽기 작업을 다수 큐잉하면, 커널은 이를 처리하기 위해 loop_rw_iter()를 사용합니다.
• 단계: io-wq 워커가 루프 내에서 대량의 데이터를 처리하는 동안 IO_WQ_BIT_EXIT 체크가 누락되어 종료 경로가 차단되며, 결과적으로 프로세스가 Uninterruptible sleep 상태(D state)에 빠져 시스템 응답성이 저하됩니다.

악용 가능성: 본 취약점은 Linux kernel의 io_uring 서브시스템 내 io-wq 워커 루프에서 종료 비트(IO_WQ_BIT_EXIT)를 확인하는 시점의 논리적 결함으로 인해 발생합니다. 공격 난이도는 Hard로 평가되며, 이는 CVSS 벡터 AV:L/PR:L이 시사하듯 공격자가 이미 시스템에 로컬 계정 권한을 확보하고 커널 인터페이스에 접근할 수 있는 전제조건이 필요하기 때문입니다. 공격 표면은 io_uring 엔드포인트와 /dev/msr*와 같이 특정 읽기 동작(read_iter)을 지원하지 않아 loop_rw_iter()를 유발하는 특수 장치 파일 및 관련 파라미터로 한정됩니다. 대량의 거대 읽기 요청을 큐에 적재하여 워커 스레드의 종료 프로세스를 지연시키는 트리거 조건이 필요하므로, 정교한 타이밍 설계와 리소스 제어가 요구됩니다. EPSS 수치가 0.00115로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 야생(In-the-wild)에서의 실제 악용 사례가 관측되지 않았음을 의미하며, 이론적 심각도 대비 실질적인 공격 가능성은 낮은 상태입니다. 따라서 본 취약점은 일반적인 외부 침입 경로보다는 권한 상승이나 서비스 거부(DoS)를 노리는 정교한 로컬 공격 시나리오에서 제한적으로 악용될 가능성이 있습니다.

• 기술적 위험: 본 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H에서 나타나듯, 기밀성(C)과 무결성(I) 영향은 없으나 가용성(A)에 치명적인 영향을 줍니다. 구체적으로는 특정 워커 스레드가 종료되지 않고 장시간 점유됨으로써 발생하는 서비스 거부(DoS) 상태를 유발합니다.
• 비즈니스 리스크: 시스템의 핵심 커널 컴포넌트인 io_uring에서 발생하며, 영향 제품 범위가 Linux kernel 5.12.1부터 6.18.8까지 매우 광범위하여 다수의 서버 및 클라우드 인프라가 잠재적 노출 대상입니다. 이는 서비스 가용성 저하로 이어져 비즈니스 연속성에 영향을 줄 수 있습니다.
• 분석 근거: 다중 소스 데이터의 일관성이 확인(신뢰도 1.0)되었으며, 영향 제품군이 8개 이상의 버전대에 걸쳐 있어 공급망 관점의 노출 규모가 매우 큰 것으로 판단됩니다.

• 유형: 커널 내 리소스 점유 및 종료 로직 결함으로 인한 DoS 패턴입니다.
• 체이닝: 추정: 단독으로는 권한 상승(LPE)이 불가능하나, 시스템 가용성을 떨어뜨려 다른 보안 메커니즘의 타임아웃을 유도하거나 모니터링 도구의 무력화를 돕는 보조 수단으로 이용될 가능성이 있습니다.

• 로그 분석: 커널 로그(dmesg)에서 blocked for more than 143 seconds 메시지와 함께 io-wq 관련 스택 트레이스가 발생하는지 확인합니다.
• 상태 모니터링: 프로세스 상태가 D (uninterruptible sleep) 상태로 장시간 유지되는지, 특히 /dev/msr 파일 접근과 연계된 io_uring 작업이 있는지 감시합니다.

• 근본 해결: 영향 범위에 해당하는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 io-wq 워커 루프 내 IO_WQ_BIT_EXIT 체크 로직을 반영합니다.
• 임시 조치: /dev/msr 등 특수 장치 파일에 대한 일반 사용자의 접근 권한을 제한하여 공격 경로를 차단합니다.
• 우선순위 판단: EPSS 수치가 0.00115로 매우 낮고, 실측 악용 예측 등급이 hard이며 KEV에 등재되지 않은 점을 근거로 '즉시 대응'보다는 '모니터링(monitor)' 수준의 리소스 배분을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None