[단독분석] 분석 — CVE-2025-71163

• 심각도 medium · CVSS 5.5 · EPSS 0.00193 · 악용난이도 hard

공격자는 로컬 권한(PR:L)을 가진 상태에서 sysfs 인터페이스의 compat bind 및 unbind 기능을 반복적으로 호출하여 취약점을 촉발합니다. 이 과정에서 idxd 장치를 조회할 때 생성된 참조 카운트(reference)가 적절히 해제되지 않아 Device Leak이 발생하며, 결과적으로 커널 메모리 자원이 고갈되는 경로를 따릅니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 대상 시스템에 이미 낮은 권한(Low Privilege)의 계정으로 접근해 있어야 하는 전제조건이 필요합니다. 공격 표면은 Linux 커널의 dmaengine: idxd 드라이버 내 compat bind 및 unbind sysfs 인터페이스로 한정되며, 해당 엔드포인트에 대한 접근 권한을 가진 사용자가 트리거할 수 있습니다. 다만, EPSS 수치가 0.00193으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 실제 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사합니다. 이론적으로는 낮은 복잡도(AC:L)를 가지나, 로컬 접근 권한 확보라는 제약과 리소스 누수(Device Leak)라는 특성상 즉각적인 원격 코드 실행보다는 시스템 가용성 저하 및 안정성 이슈로 이어질 가능성이 큽니다. 따라서 공격 난이도는 'Hard'로 판정되며, 일반적인 외부 위협보다는 내부 권한 상승이나 서비스 거부(DoS)를 노리는 정밀한 타겟팅 공격 시나리오에서 제한적으로 악용될 가능성이 있습니다.

• 기술적 위험: 본 취약점은 가용성(Availability)에 집중된 위험을 가집니다. CVSS 벡터(A:H)가 나타내듯, 지속적인 리소스 누수는 커널 패닉이나 시스템 응답 불능 상태를 유발하여 서비스 중단(DoS)으로 이어질 수 있습니다. 다만, 권한 요구사항(AV:L/PR:L)으로 인해 원격에서의 직접적인 시스템 장악이나 데이터 유출 가능성은 낮습니다.
• 비즈니스 리스크: 영향 제품 범위가 linux_kernel 5.15부터 6.18.7까지 매우 광범위하여, 해당 커널을 사용하는 다수의 인프라 및 클라우드 환경에서 잠재적 노출 규모가 큽니다. 시스템 가용성 저하는 서비스 수준 협약(SLA) 위반 및 운영 신뢰도 하락으로 연결될 수 있습니다.
• 분석 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00193, 백분위 0.0935)은 이론적 심각도와 별개로 현재 야생에서의 실제 악용 가능성이 매우 낮음을 시사합니다. 이에 따라 KEV 미등재 및 exploit 등급 hard 조건을 반영하여 우선순위를 monitor로 결정하였습니다.

추정: 단독으로는 권한 상승이 불가능하나, 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 시스템 자원을 고갈시켜 보안 솔루션의 정상 작동을 방해하는 환경 조성 용도로 활용될 가능성이 있습니다.

• 지표: sysfs 경로 내 idxd 관련 bind/unbind 인터페이스에 대한 비정상적으로 빈번한 쓰기 작업 로그.
• 패턴 예시: /sys/bus/idxd/drivers/.../bind 또는 unbind 파일에 대한 반복적인 접근 시도 모니터링.

• 근본 해결: 영향 범위에 포함된 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 참조 카운트 누수 문제를 해결하십시오.
• 즉시 조치: 신뢰할 수 없는 사용자의 sysfs 인터페이스 접근 권한을 제한하고, 불필요한 드라이버 바인딩/언바인딩 작업이 수행되지 않도록 시스템 권한 설정을 검토하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00193 · exploit=hard · in_scope=None