[공격] 분석 — CVE-2025-39913

• 심각도 미상 · CVSS 미상 · EPSS 0.00171 · 악용난이도 hard

(1) 트리거 조건

• sk_msg BPF 프로그램이 로드되어 있고, 해당 프로그램 내에서 bpf_msg_cork_bytes() 함수가 호출되어야 함.
• 데이터 전송량이 설정된 cork_bytes보다 적어 데이터가 다음 sendmsg()로 이월되는 상황이 발생해야 함.
• tcp_bpf_send_verdict() 내에서 psock->cork 메모리 할당이 실패(Fault Injection 등)할 때, sk_msg_free()가 호출되지 않아 메모리 누수가 발생함.

(2) 공격 단계

• 정찰: 타겟 시스템의 커널 버전 확인 및 BPF(unprivileged_bpf_disabled) 설정 상태 파악.
• 초기 접근: 로컬 쉘 권한 확보 또는 BPF 프로그램 로드가 가능한 권한(CAP_SYS_ADMIN 등) 획득.
• 실행 (Trigger):
  1. sk_msg 프로그램을 작성하여 bpf_msg_cork_bytes()를 호출하도록 설계.
  2. 해당 프로그램을 SOCKMAP에 부착하고 소켓을 추가.
  3. 의도적으로 작은 크기의 데이터를 전송하여 커널의 corking 메커니즘 유도.
• 영향: 할당 실패 시 메모리가 해제되지 않고 누적되어 시스템 자원 고갈 유발.

(3) 공격 표면

• 엔드포인트/함수: Linux Kernel tcp_bpf 모듈, tcp_bpf_send_verdict(), sk_msg_alloc().
• 파라미터: BPF 프로그램의 cork_bytes 값, 전송되는 데이터 패킷 크기.

(4) CVSS 벡터 분석 (추정)

• AV:L (Local): BPF 프로그램을 로드하고 소켓을 조작해야 하므로 로컬 접근 필요.
• AC:H (High): 특정 BPF 프로그램 작성, SOCKMAP 설정 및 정밀한 메모리 할당 실패 유도가 필요함.
• PR:H (High): 일반적으로 BPF 프로그램 로드는 루트 권한이나 CAP_SYS_ADMIN이 필요함.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux Kernel의 tcp_bpf 모듈 내 메모리 관리 결함으로, 공격 난이도는 Hard 수준입니다. 공격자는 시스템에 BPF 프로그램을 로드하고 이를 SOCKMAP에 연결하여 특정 소켓을 제어할 수 있는 권한(PR: High/Local)이 전제되어야 하며, 네트워크 패킷의 크기를 정밀하게 조작해 bpf_msg_cork_bytes() 트리거 조건을 충족시켜야 합니다. 특히 실제 익스플로잇을 위해서는 메모리 할당 실패(psock->cork 할당 오류)를 유도해야 하는데, 이는 일반적인 환경보다 Fault Injection과 같은 특수한 커널 상태나 극심한 메모리 압박 상황이 동반되어야 하므로 실전 악용 가능성이 낮습니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 Memory Leak/Corruption 위험에도 불구하고 실제 공격자가 이를 무기화하여 외부에서 침투 경로로 활용한 사례가 거의 없음을 방증합니다. 주요 공격 표면은 sk_msg BPF 프로그램이 적용된 TCP 소켓 엔드포인트와 tcp_bpf_send_verdict() 함수 내의 메모리 할당 로직입니다. 결과적으로 본 취약점은 단순 외부 노출만으로는 트리거가 불가능하며, 로컬 권한을 가진 공격자가 커널 내부 상태를 정밀하게 제어해야 하는 고난도 시나리오를 요구합니다.

(1) 기술적 위험

• 서비스 중단 (DoS): 메모리 누수가 지속적으로 발생할 경우 커널 메모리 고갈로 인해 시스템 패닉(Kernel Panic) 또는 OOM Killer에 의한 주요 프로세스 종료 가능성.
• 추정: 단일 할당 실패만으로는 영향이 적으나, 반복적인 트리거를 통해 가용성을 저해함.

(2) 비즈니스 영향

• 가용성 저하: 서버 다운타임 발생 시 서비스 중단으로 인한 비즈니스 손실.
• 신뢰도 하락: 인프라 레벨의 불안정성 노출.

• 체이닝 경로 (추정): 메모리 누수(Memory Leak) → 커널 힙 상태 조작(Heap Grooming) → 다른 힙 기반 취약점(Use-After-Free 등)의 트리거 조건 형성.
• 단순 메모리 누수 자체로는 권한 상승이 어렵지만, 커널 메모리 레이아웃을 의도적으로 배치하여 다른 취약점의 성공률을 높이는 보조 수단으로 활용될 가능성이 있음.

(1) 로그 지표

• dmesg 또는 /var/log/kern.log 내 WARNING: net/ipv4/af_inet.c 관련 스택 트레이스 및 inet_sock_destruct 관련 경고 메시지 확인.

(2) 탐지 규칙 예시

• SIEM 로직: message CONTAINS "net/ipv4/af_inet.c" AND message CONTAINS "WARNING" AND message CONTAINS "inet_sock_destruct"
• BPF 모니터링: bpf() 시스템 콜을 통해 BPF_PROG_TYPE_SK_MSG 타입의 프로그램이 빈번하게 로드/수정되는 패턴 감시.

(3) 오탐 시나리오 및 튜닝

• 정상적인 네트워크 가속 솔루션이나 모니터링 도구가 BPF를 사용할 경우 오탐 발생 가능. 화이트리스트 기반으로 승인된 BPF 프로그램 경로/해시를 등록하여 필터링 필요.

• 즉시 (긴급 차단):
  • sysctl -w kernel.unprivileged_bpf_disabled=1 설정을 통해 비특권 사용자의 BPF 로드 차단. (난이도: 하 / 영향: 일부 BPF 기반 앱 작동 불가)
• 단기 (완화):
  • CAP_SYS_ADMIN 권한을 가진 계정 및 프로세스 최소화. (난이도: 중 / 영향: 운영 관리 복잡도 증가)
• 근본 (해결):
  • Linux 커널을 수정 버전(사실에 명시된 commit 범위 이후 버전)으로 업데이트. (난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 tcp_bpf 내 메모리 누수 원리가 일관됨을 확인했습니다. EPSS 0.00171 및 exploit=hard 등급은 실제 야생(In-the-wild) 악용 사례가 드물고 공격 조건이 까다로움을 의미하며, 이에 따라 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=미상 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None