[단독분석] 분석 — CVE-2024-28956

• 심각도 medium · CVSS 5.6 · EPSS 0.00371 · 악용난이도 hard

인증된 로컬 사용자가 일시적인 실행(transient execution) 중 공유 마이크로아키텍처 구조(예: 캐시, 버퍼)에 접근하여 민감 정보를 추출합니다. 이 과정은 높은 난이도(AC:H)와 제한된 공격 표면(AV:L)을 갖으며, 성공 시 메모리 내용이 노출됩니다.

악용 가능성: CVSS 벡터 AV:L 은 공격자가 로컬 시스템에 물리적으로 접근하거나 이미 로그인된 상태여야 함을 의미하고, AC:H 는 성공적인 공격을 위해 복잡한 순서와 정밀한 타이밍 제어가 필요함을 나타냅니다. PR:L 은 낮은 특권(일반 사용자)만으로도 가능하지만 UI:N 로 사용자의 추가 입력 없이 자동으로 진행되어야 하므로, 실질적인 실행 환경 구축이 까다롭습니다. EPSS 0.00371 은 현재 관측된 악용 사례가 매우 드물며, KEV에 등재되지 않은 점은 공개적으로 활용 가능한 익스플로잇이 존재하지 않음을 뒷받침합니다. 이 취약점은 인텔 CPU의 트랜지언트 실행 중 공유 마이크로아키텍처 구조를 통해 민감 정보가 누출될 수 있는 상황을 트

• 기술적 위험: 성공적인 악용 시 CPU 내부의 공유 구조에 남아 있는 데이터가 외부로 유출될 수 있습니다(C:H). 무결성·가용성에는 영향을 주지 않으며, 전통적인 원격 공격 경로는 존재하지 않습니다.
• 비즈니스 리스크: 노출된 데이터가 개인정보(Personal Identifiable Information)나 기업 기밀일 경우 규제·컴플라이언스 위반 위험이 발생하고, 고객 신뢰도 저하 및 잠재적 법적 책임이 따를 수 있습니다.
• 영향 제품·범위: 일부 Intel(R) 프로세서에서 확인되었으며, 구체적인 모델은 공개되지 않았습니다(미상). 따라서 해당 CPU가 탑재된 모든 서버·워크스테이션이 잠재적 대상입니다.

마이크로아키텍처 기반 정보 유출(MDS, Spectre, Meltdown) 계열의 다른 CVE와 연계될 가능성이 있습니다. 기존 캐시 타이밍 측정 공격과 결합하면 탐지 회피 및 데이터 수집 효율을 높일 수 있으나, 현재 확인된 직접적인 체이닝 사례는 없습니다.

• 로그/모니터링: 마이크로코드 업데이트 적용 이력, CPU 특권 명령 실행 빈도, 비정상적인 캐시 플러시·리로드 패턴을 실시간으로 수집합니다.
• 행위 기반 지표: 동일 프로세스가 짧은 시간 내에 반복적으로 rdmsr, clflush 등 특권 레지스터/명령어를 호출하는 경우 경보를 발생시킵니다.

1. 즉시 조치
   • Intel에서 제공하는 최신 마이크로코드·펌웨어 패치를 적용합니다.
   • 운영체제 수준에서 transient execution mitigations(예: IBRS, STIBP)를 활성화합니다.
   • 로컬 사용자 권한을 최소화하고, 불필요한 특권 명령어 사용을 제한합니다.
2. 근본 해결
   • 해당 CPU 모델에 대한 공급업체의 공식 패치가 배포될 때까지 지속적인 모니터링과 마이크로코드 업데이트 적용을 유지합니다.

근거: 다중 소스에서 일관성이 확인된 교차검증 결과(CVSS 5.6, AV:L/AC:H/PR:L/UI:N)와 실측 EPSS 0.00371(첫 번째.org 백분위 0.29796)을 바탕으로 “hard” 등급의 악용 난이도와 낮은 실제 악용 가능성을 고려해 우선순위는 monitor로 결정되었습니다(KEV 미등재, in_scope=None).

• 조치: monitor (모니터링)
• 근거: CVSS=5.6 · non-KEV · EPSS=0.00371 · exploit=hard · in_scope=None