[단독분석] 분석 — CVE-2024-49994

• 심각도 medium · CVSS 5.5 · EPSS 0.00239 · 악용난이도 hard

공격자가 로컬 권한으로 BLKSECDISCARD ioctl을 호출할 때, 조작된 매우 큰 정수 값(예: 18446744073709551104ULL)을 인자로 전달하여 Integer Overflow를 유발합니다. 이로 인해 blkdev_issue_secure_erase() 함수 내부에서 무한 루프에 가까운 상태가 트리거되며, 커널이 장치 끝단(End of Device) 너머의 영역에 반복적으로 접근을 시도하며 시스템 자원을 고갈시킵니다.

악용 가능성: 본 취약점은 Linux kernel의 BLKSECDISCARD ioctl 요청 처리 과정에서 발생하는 Integer Overflow로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근 가능한 상태여야 하며 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 블록 장치 파일(block device file)에 대한 ioctl() 시스템 호출이며, 특히 BLKSECDISCARD 파라미터로 조작된 매우 큰 값(예: 18446744073709551104ULL)을 전달하여 커널 내부의 무한 루프를 유발합니다. EPSS 수치가 0.00239로 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 활발히 악용되는 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실제 공격 가능성은 상대적으로 낮습니다. 다만, 권한을 가진 내부 사용자가 시스템 가용성을 저해하려는 목적(DoS)으로 악용할 수 있는 경로가 존재합니다. 결과적으로 본 취약점은 외부망 노출보다는 로컬 권한 상승 단계나 서비스 거부 공격의 수단으로 활용될 가능성이 있습니다.

• 영향 범위: Linux kernel 6.10.14 미만 및 6.11 ~ 6.11.3 버전이 대상입니다.
• 기술적 위험: CVSS 벡터 AV:L/PR:L/S:U/C:N/I:N/A:H에서 확인되듯, 기밀성이나 무결성 침해 없이 오직 가용성(A:H)에만 치명적인 영향을 줍니다. 공격 성공 시 커널 패닉 또는 시스템 응답 불능 상태의 서비스 거부(DoS)가 발생합니다.
• 비즈니스 리스크: 서버의 갑작스러운 중단으로 인한 서비스 가용성 저하가 주된 리스크입니다. 다만, 공격자가 유효한 로컬 계정 권한과 블록 장치 파일에 대한 접근 권한을 모두 보유해야 하므로, 외부망 노출보다는 내부 위협 또는 권한 상승 후의 2차 공격 단계로 범위가 제한됩니다.

blk_ioctl_discard()에서 발생했던 정수 오버플로우와 동일한 메커니즘을 공유하는 패턴입니다. 단독으로는 시스템 중단만 유발하지만, 추정: 다른 로컬 권한 상승(LPE) 취약점과 체이닝될 경우 시스템 제어권 확보 후 흔적 제거 또는 가용성 임의 조절 수단으로 활용될 가능성이 있습니다.

• 커널 로그: dmesg 또는 /var/log/syslog에서 attempt to access beyond end of device 및 bio_check_eod: ... callbacks suppressed 메시지가 대량 발생하거나 반복되는 패턴을 확인합니다.
• 시스템 콜: 비정상적으로 큰 파라미터를 포함한 ioctl(fd, BLKSECDISCARD, ...) 호출 시도를 모니터링합니다.

• 근본 해결: 취약점이 수정된 최신 커널 버전(6.10.14 이상 또는 6.11.4 이상)으로 업데이트하십시오.
• 우선순위 판단: 다중 소스 데이터 간 일관성이 확인되었으며, 실측 EPSS 수치가 0.00239(백분위 0.15069)로 매우 낮고 KEV에 미등재된 점, 공격 난이도가 'hard'인 점을 규칙 기반으로 종합하여 monitor(모니터링) 수준의 우선순위를 부여했습니다. 따라서 긴급 패치보다는 정기 업데이트 주기에 맞춘 반영을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00239 · exploit=hard · in_scope=None