[분석가] 분석 — CVE-2025-37785

• 심각도 high · CVSS 7.1 · EPSS 0.00258 · 악용난이도 hard

(1) 트리거 조건: rec_len 값이 정확히 블록 크기(4KB)로 조작된 . 디렉터리 엔트리가 포함된 손상된 ext4 파일시스템을 마운트하고, 해당 디렉터리를 삭제하려 할 때 발생합니다.
(2) 공격 단계:

• 준비: 특수하게 조작된 ext4 이미지 생성 (. 엔트리의 rec_len == 4096).
• 초기 접근: 로컬 권한을 가진 사용자가 해당 파일시스템을 마운트하거나, 관리자가 외부 저장매체를 마운트하도록 유도.
• 실행: ext4_empty_dir() 함수가 . 엔트리를 확인한 후 rec_len을 기반으로 .. 엔트리 위치를 계산할 때, 포인터가 할당된 데이터 블록 범위를 벗어나게 됨.
• 영향: ext4_check_dir_entry()가 OOB 메모리 영역을 역참조하여 커널 패닉 또는 정보 유출 발생.
  (3) 공격 표면: ext4 파일시스템 마운트 인터페이스 및 디렉터리 관리 시스템 콜.
  (4) CVSS 벡터 연결: AV:L/PR:L은 로컬 접근 권한이 있는 사용자가 조작된 파일시스템을 통해 트리거할 수 있음을 의미하며, AC:L은 특별한 환경 설정 없이 조건 충족 시 즉시 실행 가능함을 나타냅니다.

악용 가능성: 본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 이미 시스템에 낮은 권한(PR:L)으로 접근하여 로컬 환경에서 조작된 파일시스템을 마운트할 수 있는 상태여야 트리거됩니다. 구체적인 공격 표면은 ext4 파일시스템의 디렉터리 엔트리 구조이며, 특히 . 항목의 rec_len 값을 블록 크기(4KB)와 동일하게 조작하여 ext4_empty_dir() 함수가 .. 항목의 위치를 계산하는 과정에서 Out-of-Bounds Read를 유발하는 방식입니다. 공격 난이도는 Hard로 판정되는데, 이는 단순한 네트워크 요청이 아닌 정교하게 손상된(corrupted) 파일시스템 이미지를 생성하고 이를 타겟 시스템에 마운트시켜야 하는 전제조건 때문입니다. 실제 악용 가능성은 낮은 편으로, EPSS 수치가 0.00258로 매우 낮고 KEV(Known Exploited Vulnerabilities) 목록에도 등재되지 않아 야생에서의 능동적인 공격 사례는 미관측 상태입니다. 결과적으로 이론적인 심각도와 별개로, 로컬 권한을 이미 획득한 공격자가 커널 메모리 누수나 크래시를 유도하기 위해 시도할 수 있는 특수한 시나리오에 국한된 위협으로 분석됩니다.

(1) 기술적 위험:

• 서비스 중단: OOB 메모리 접근으로 인한 커널 패닉 및 시스템 크래시(DoS).
• 정보 유출: 추정: 커널 메모리의 임의 영역을 읽음으로써 민감한 데이터가 노출될 가능성이 있습니다.
  (2) 비즈니스 영향:
• 가용성 저해: 서버 다운타임 발생으로 인한 서비스 중단 리스크.
• 제품 범위: Linux Kernel 2.6.19부터 6.14.2까지 광범위한 버전이 영향을 받으므로, 레거시 시스템부터 최신 배포판까지 노출 규모가 매우 큽니다.

(1) 유형 및 패턴: 본 취약점은 Memory-Corruption (OOB Read) 유형입니다.
(2) 체이닝 가능성: 추정: OOB Read를 통해 커널 메모리 주소(KASLR offset 등)를 획득한 후, 다른 쓰기 권한 취약점과 결합하여 권한 상승(LPE)으로 이어지는 체인이 형성될 수 있습니다.

(1) 로그 지표: dmesg 또는 /var/log/syslog 내의 커널 덤프 및 General Protection Fault 혹은 Kernel Panic 메시지.
(2) 탐지 규칙 예시:

• 로직: 파일시스템 마운트 직후 발생하는 비정상적인 커널 트랩 모니터링.
• SIEM 쿼리 형태 (Pseudo): event_id == KERNEL_PANIC AND message CONTAINS "ext4_empty_dir" OR "ext4_check_dir_entry"
  (3) 오탐 시나리오 및 튜닝: 실제 디스크 물리적 손상으로 인한 파일시스템 오류와 구분이 어렵습니다. 하드웨어 진단 로그를 병행 확인하여 소프트웨어적 조작 여부를 판별해야 합니다.

• 즉시(긴급 차단): 신뢰할 수 없는 외부 저장매체(USB, 외장 HDD 등)의 마운트를 금지하는 정책 적용. (난이도: 하 / 영향: 낮음 / 검증: mount 명령어 제한 확인)
• 단기(완화): 커널 파라미터 및 보안 모듈을 통해 비정상적인 파일시스템 동작 시 프로세스를 강제 종료하도록 설정. (난이도: 중 / 영향: 보통 / 검증: 테스트 환경에서 조작된 이미지 마운트 시도)
• 근본(해결): __ext4_check_dir_entry() 함수가 수정된 최신 커널 버전으로 업데이트.
  • 대상: Linux Kernel 5.10.237+, 5.15.181+, 6.1.135+, 6.6.88+, 6.12.24+, 6.13.12+, 6.14.3+ (버전별 패치 확인 필요).
  • (난이도: 중 / 영향: 높음(재부팅 필요) / 검증: uname -r로 커널 버전 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00258, 백분위 0.17465)이 매우 낮고 KEV에 등재되지 않았으며 공격 난이도가 'hard'로 평가됨에 따라, 우선순위를 scheduled(이번 주 내)로 결정하였습니다. 이는 이론적 심각도(CVSS 7.1)보다 실제 야생 악용 가능성이 현저히 낮음을 반영한 결과입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.1 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None