[공격] 분석 — CVE-2025-22111

• 심각도 medium · CVSS 5.5 · EPSS 0.00191 · 악용난이도 hard

(1) 트리거 조건: SIOCBRDELIF와 SIOCBRDELBR 요청이 동시에 발생하여 RTNL(Routing Netlink) lock의 획득/해제 순서가 꼬이는 Race Condition을 유발함. 특히 dev_ioctl()에서 netdev_hold() 이후 lock을 해제하고 다시 획득하는 'RTNL dance' 구간이 취약점의 핵심 지점임.

(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 확인 및 Bridge 인터페이스 존재 여부 파악.
• 초기 접근: 로컬 사용자 권한(PR:L) 확보 필요. CAP_NET_ADMIN 등의 네트워크 관리 권한이 전제됨.
• 실행/영향:
  • Thread A가 SIOCBRDELIF를 호출하여 브리지에서 장치를 분리 시도.
  • Thread B가 동시에 SIOCBRDELBR를 호출하여 브리지 자체를 제거 시도.
  • RTNL pressure(높은 부하) 상황을 조성하여 Race window를 확장, 커널 패닉(Splat) 유발.
• 관측 지표: 시스템 로그(dmesg) 내 커널 스택 트레이스 및 rtnl_unlock() 관련 Panic 메시지 발생.

(3) 공격 표면:

• 엔드포인트: /dev/net/tun 또는 네트워크 소켓 기반의 ioctl 인터페이스.
• 파라미터/함수: sock_ioctl $\rightarrow$ dev_ioctl $\rightarrow$ br_ioctl_call.

(4) CVSS 벡터 연결:

• AV:L: 로컬 접근 필요.
• AC:L: Race condition이지만 트리거 구조가 단순함.
• PR:L: 일반 사용자 권한이 필요하나, 실제 동작을 위해서는 네트워크 설정 변경 권한이 전제되어야 함.
• UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux kernel의 Bridge 인터페이스 관리 과정에서 발생하는 Race Condition으로, 공격 난이도는 Hard 수준입니다. AV:L(Local)과 PR:L(Low) 벡터가 시사하듯, 공격자는 시스템에 이미 낮은 권한의 계정으로 접근하여 SIOCBRADDIF 또는 SIOCBRDELIF와 같은 Bridge 관련 ioctl 명령을 호출할 수 있는 환경이어야 합니다. 공격 표면은 커널 내 dev_ioctl() 및 br_ioctl_call() 함수로 이어지는 네트워크 장치 제어 엔드포인트이며, 특정 타이밍에 브리지 장치의 제거(Thread B)와 분리(Thread A) 작업이 동시에 맞물려야 하는 정밀한 트리거 조건이 필요합니다. EPSS 수치가 0.00191로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 패닉이나 상태 불일치 가능성에 비해 실제 외부에서 무기화하여 공격에 성공시킨 사례가 극히 드물다는 것을 의미합니다. 결과적으로 이 취약점은 단순한 권한 상승보다는 시스템 가용성을 저해하는 DoS 유발 가능성이 높으며, 매우 좁은 Race Window를 공략해야 하므로 실전 악용 가능성은 제한적입니다.

(1) 기술적 위험: 커널 패닉으로 인한 시스템 완전 중단(Denial of Service). 메모리 오염이나 권한 상승보다는 가용성 파괴에 집중된 취약점임.
(2) 비즈니스 영향:

• 서비스 가용성: 브리지 네트워크를 사용하는 가상화 환경(KVM, Docker 등)에서 호스트 커널 패닉 시 모든 게스트 VM/컨테이너 동시 중단.
• 신뢰성: 인프라 레벨의 불안정성 초래.

• 추정 체이닝: 본 취약점은 단독으로 권한 상승을 일으키지는 않으나, DoS $\rightarrow$ Failover 상황을 강제하여 시스템이 백업 노드로 전환될 때 발생하는 다른 설정 오류나 인증 우회 취약점을 공략하는 체인에 이용될 수 있음.
• 유형 패턴: Race Condition (CWE-362) $\rightarrow$ Kernel Panic / DoS. 커널 내 Lock 관리 미흡으로 인한 전형적인 동기화 결함 패턴임.

(1) 로그 지표: dmesg 또는 /var/log/kern.log에서 SIOCBRDELIF, rtnl_unlock, netdev_put과 관련된 커널 덤프 및 Panic 로그 확인.
(2) 탐지 규칙:

• Rule 1 (시스템 콜 모니터링): 동일 프로세스 또는 짧은 시간 내에 서로 다른 스레드가 SIOCBRDELIF(0x891f)와 SIOCBRDELBR(0x8920) ioctl을 빈번하게 호출하는 패턴 탐지.
• Rule 2 (로그 패턴): grep -E "kernel: .*rtnl_unlock.*splat" /var/log/syslog
  (3) 오탐 시나리오 및 튜닝: 네트워크 설정 변경이 빈번한 자동화 스크립트나 오케스트레이션 도구에서 발생 가능. 특정 관리자 계정이나 신뢰된 바이너리(iproute2 등)의 호출은 화이트리스트 처리하여 튜닝.

• 즉시(긴급 차단): 불필요한 네트워크 인터페이스 수정 권한 제한. 일반 사용자의 CAP_NET_ADMIN 권한 부여 최소화. (난이도: 하 / 영향: 낮음 / 검증: getcap 명령어로 권한 확인)
• 단기(완화): 브리지 설정 변경 작업 시 동시 실행되는 스크립트가 없도록 순차적 처리 보장. (난이도: 중 / 영향: 운영 프로세스 변경 필요 / 검증: 작업 로그 확인)
• 근본(해결): Linux Kernel 6.14.2 이후 버전 또는 해당 수정 사항(Remove RTNL dance for SIOCBRADDIF and SIOCBRDELIF)이 백포트된 배포판 커널로 업데이트. (난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단 / 검증: uname -r 버전 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00191, 백분위 0.09088)이 매우 낮고 KEV에 등재되지 않았으며 exploit 난이도가 'hard'로 평가됨에 따라 우선순위를 monitor로 결정함. 이는 이론적 심각도(CVSS 5.5)보다 실제 악용 가능성이 현저히 낮음을 의미함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00191 · exploit=hard · in_scope=None