[공격] 분석 — CVE-2026-31389

• 심각도 high · CVSS 7.8 · EPSS 0.00117 · 악용난이도 hard

본 취약점은 spi_register_controller 과정 중 per-cpu statistics 할당 실패 시, 이미 등록된 드라이버 코어 자원을 해제(deregister)하지 않아 발생하는 Use-After-Free (UAF) 결함이다.

• 공격 표면 및 진입점:
  • 노출 엔드포인트: /dev/spidev 디바이스 파일 및 관련 ioctl 인터페이스.
  • 트리거 경로: 일반 사용자가 ioctl 등을 통해 커널 내부의 SPI 컨트롤러 등록 함수를 간접적으로 호출하거나, 특정 드라이버 로딩을 유도할 수 있는 권한이 있을 때 진입 가능하다. (기존 분석에서 단순히 '모듈 인터페이스'로 뭉뚱그렸으나, /dev/spidev라는 구체적인 사용자 공간 진입점이 실질적 공격 표면임을 확인하여 반영함)
• 공격 체인 및 전제 조건:
  1. 초기 접근 (Initial Access): AV:L/PR:L 벡터에 따라 로컬 쉘 권한 확보가 필수적이다.
  2. 정찰 및 환경 조성: 시스템 내 SPI 컨트롤러 사용 여부를 확인하고, /dev/spidev 등 디바이스 파일에 대한 접근 권한을 검증한다.
  3. 결함 트리거 (Execution): 의도적인 메모리 압박(Memory Pressure) 또는 슬랩 할당자 조작을 통해 per-cpu statistics 할당 실패를 강제 $\rightarrow$ 에러 핸들러가 드라이버 코어를 해제하지 않고 리턴 $\rightarrow$ 커널 내부에 댕글링 포인터 생성.
  4. 권한 상승 (Privilege Escalation): 해제된 메모리 영역에 공격자가 제어하는 데이터를 배치(Heap Spraying)하여 unclocked register access나 함수 포인터 덮어쓰기를 시도 $\rightarrow$ 커널 모드 실행 권한 획득.
• 실현 가능성 분석: 다중 소스 교차검증 결과 데이터 일관성이 확인되었으나, 실측 EPSS가 0.00117(백분위 0.01942)로 매우 낮다. 이는 이론적 심각도(CVSS 7.8)와 달리 실제 야생에서 악용된 사례가 거의 없음을 뜻하며, 정밀한 메모리 상태 제어가 필요하므로 exploit=hard로 판정한다. 이에 따라 우선순위는 scheduled(이번 주 내)로 결정되었다.

악용 가능성: 본 취약점은 Linux kernel의 SPI controller 등록 과정에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 매우 높습니다. AV:L 및 PR:L 벡터가 시사하듯, 공격자는 이미 시스템에 로컬 계정 권한을 확보한 상태에서 커널 모드 드라이버 자원에 접근할 수 있어야 합니다. 특히 트리거 조건이 'per-cpu statistics 할당 실패'라는 극히 예외적인 메모리 부족 상황(Out-of-Memory)이나 특정 리소스 경합 상태에 의존하므로, 공격자가 이를 인위적으로 유도하기 위한 정밀한 Heap Spraying 또는 Memory Pressure 조작이 전제되어야 합니다. EPSS 수치가 0.00117로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 이 조건만으로 동작하는 단독 익스플로잇이 발견되지 않았음을 뒷받침합니다. 공격 표면은 SPI 버스 컨트롤러 등록과 관련된 커널 내부 함수 및 드라이버 코어 인터페이스에 한정되며, 일반적인 사용자 애플리케이션 레벨에서는 직접 노출되지 않습니다. 따라서 단순한 권한 상승보다는 다른 메모리 오염 취약점과 체이닝하여 커널 패닉을 유도하거나, 특정 조건에서 커널 포인터를 유출시키는 보조 수단으로 악용될 가능성이 큽니다.

• 권한 상승 (LPE): 일반 사용자 권한에서 커널 메모리 오염을 통해 Root/Kernel 권한으로 상승 가능.
• 시스템 불안정: 잘못된 메모리 참조로 인한 Kernel Oops 및 시스템 크래시(DoS).

본 결함은 단독으로는 트리거 조건(할당 실패)이 까다로우므로 다음과 같은 체이닝 경로가 추정된다:

• 정보 유출 $\rightarrow$ UAF $\rightarrow$ 권한 상승:
  • 추정: KASLR을 우회하기 위해 커널 주소 유출 취약점을 먼저 이용하여 타겟 메모리 주소를 식별한 후, 본 CVE의 UAF 지점에 정밀하게 페이로드를 배치하는 경로.
• 리소스 고갈 $\rightarrow$ 결함 트리거:
  • 추정: CWE-400 (Uncontrolled Resource Consumption) 유형의 취약점을 체이닝하여 커널 메모리 할당 실패 상황을 인위적으로 조성, 본 취약점의 트리거 확률을 극대화하는 경로.
• 권한 제한 우회 $\rightarrow$ UAF:
  • 추정: /dev/spidev 접근 권한이 없는 경우, 다른 로컬 권한 상승 취약점을 통해 해당 디바이스 파일에 접근 가능한 그룹 권한을 먼저 획득하는 경로.

• 로그 분석: dmesg에서 SPI 컨트롤러 등록 실패 메시지 직후 발생하는 General Protection Fault 또는 Kernel Oops 패턴 감시.
• 동적 분석: KASAN(Kernel Address Sanitizer) 환경에서 use-after-free 리포트 확인.

• 근본 해결: 영향받는 커널 버전(6.0 ~ 6.19 등)을 최신 보안 패치 버전으로 업데이트하여 할당 실패 시 정상적으로 deregister 되도록 수정.
• 즉시 조치: /dev/spidev 등 SPI 관련 디바이스 파일의 접근 권한을 최소화하고, 불필요한 SPI 커널 모듈 로드를 차단.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00117 · exploit=hard · in_scope=None