[분석가] 분석 — CVE-2026-31680

• 심각도 high · CVSS 7.8 · EPSS 0.00126 · 악용난이도 hard

• 원리: ip6fl_seq_show()가 RCU read-side lock 하에서 글로벌 flowlabel 해시를 순회할 때, 이미 해제된 옵션 블록(fl->opt)을 참조하는 Use-After-Free(UAF) Race Condition입니다.
• 경로: Exclusive flowlabels는 fl_release() 시점에 fl->opt를 즉시 kfree() 하지만, struct ip6_flowlabel 자체는 가비지 컬렉션 전까지 해시 테이블에 잔존합니다.
• 단계: 로컬 권한 사용자가 /proc/net/ip6_flowlabel을 읽는 시점과 옵션 메모리가 해제되는 시점을 정밀하게 일치시켜 커널 패닉을 유발합니다. 추정: kmalloc-X 슬랩 할당자 내에서 타겟 객체를 배치하는 Heap Grooming 기법을 통해 단순 크래시를 넘어선 임의 코드 실행(LPE) 가능성이 기술적으로 존재하나, 실현 난이도는 매우 높습니다.

악용 가능성: 본 취약점은 Linux kernel의 IPv6 flowlabel 처리 과정에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard 수준입니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 이미 낮은 권한의 계정(Low Privilege)을 확보하여 로컬 접근이 가능한 상태여야 하며, /proc/net/ip6_flowlabel 엔드포인트를 통해 커널 메모리에 접근해야 합니다. 공격 표면은 IPv6 flowlabel 해시 테이블과 이를 출력하는 ip6fl_seq_show() 함수이며, 특정 타이밍에 fl_release()와 /proc 파일 읽기 작업이 동시에 발생하는 Race Condition을 정밀하게 트리거해야 합니다. EPSS 수치가 0.00126으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 실제 야생에서의 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실질적 위협 수준이 낮음을 뒷받침합니다. 결과적으로 권한 상승보다는 커널 패닉을 통한 서비스 거부(DoS) 가능성이 높으나, 정밀한 메모리 레이아웃 제어가 전제되어야 하므로 실제 악용 가능성은 제한적입니다.

• 영향 범위: Linux Kernel 3.9부터 6.19.12까지 광범위한 버전이 포함되며, 다중 소스 교차검증을 통해 데이터 일관성이 확인(신뢰도 1.0)되어 인프라 전반의 노출 규모가 매우 큽니다.
• 기술적 위험: 로컬 권한(PR:L)만으로 시스템 전체를 중단시키는 DoS 유발이 가능합니다. 특히 컨테이너나 VM과 같은 다중 테넌시 환경에서는 커널을 공유하므로, 단일 인스턴스의 공격이 호스트 전체의 가용성을 붕괴시키는 단일 장애점(SPOF) 리스크로 전이됩니다.
• 비즈니스 리스크: 고가용성(SLA)이 필수적인 금융·헬스케어 서비스의 경우, 단순 DoS만으로도 막대한 서비스 중단 비용과 신뢰도 하락이 발생합니다. 또한 패치 적용을 위한 재부팅 시 운영 중단 비용이 수반됩니다.

• 유형: Use-After-Free (UAF) / Race Condition.
• 체이닝 가능성: 단독으로는 DoS가 주된 결과이나, 다른 커널 메모리 오염 취약점과 결합하여 권한 상승(LPE)으로 이어질 가능성이 추정됩니다.

• 행위 지표: /proc/net/ip6_flowlabel에 대한 비정상적인 반복 읽기 시도 및 이와 동반되는 커널 패닉 로그(Kernel Panic, Oops) 모니터링.
• 패턴 예시:
  • Crash Dump 내 ip6fl_seq_show 함수 호출 스택 확인.
  • IPv6 flowlabel 생성/삭제 시스템 콜의 단시간 내 고빈도 반복 발생 패턴.

• 즉시 조치:
  • /proc/net/ip6_flowlabel에 대한 일반 사용자의 접근 권한을 즉시 제한하여 공격 표면 제거.
  • 재부팅 리스크 최소화를 위해 kpatch 또는 kgraft와 같은 라이브 패치 적용 가능 여부 검토.
• 근본 해결: 보안 패치가 적용된 최신 커널 버전으로 업데이트 (fl->opt 생명주기를 fl_free_rcu()까지 연장).
• 우선순위 판단: EPSS 0.00126(백분위 0.027) 및 KEV 미등재, 악용 난이도 'hard'를 근거로 실측 악용 가능성은 낮으나, 영향 범위가 광범위하고 가용성 리스크가 크므로 규칙 기반 우선순위에 따라 scheduled(이번 주 내) 조치를 권고합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00126 · exploit=hard · in_scope=None