[분석가] 분석 — CVE-2024-57979

• 심각도 high · CVSS 7.8 · EPSS 0.00256 · 악용난이도 hard

1. 트리거 조건: ntpd 및 gpsd와 같은 서비스가 실행 중인 환경에서 시스템 재부팅 또는 프로세스 종료(sys_exit()) 시, PPS(Pulse Per Second) 관련 객체가 적절히 해제되지 않은 상태에서 kobject_put()이 호출될 때 발생합니다.
2. 공격 단계:
   • 초기 접근: 공격자는 이미 시스템에 로그인한 로컬 사용자 권한(PR:L)을 가지고 있어야 합니다.
   • 실행 및 권한 획득: PPS 인터페이스와 상호작용하는 프로세스를 조작하여 Use-After-Free (UAF) 상태를 유도합니다. 해제된 메모리 영역에 공격자가 제어하는 데이터를 배치(Heap Spraying)하여 커널 함수 포인터를 덮어쓰고, 이를 통해 임의 코드 실행 및 권한 상승을 시도합니다.
   • 영향: 성공 시 커널 모드에서 코드가 실행되어 시스템 전체 권한을 획득하거나 커널 패닉(Kernel Panic)을 유발합니다.
3. 공격 표면: Linux Kernel PPS subsystem, kobject 관리 인터페이스.
4. CVSS 벡터 분석:
   • AV:L: 로컬 접근이 필수적입니다.
   • AC:L: 취약점 트리거 조건이 단순하여 공격 복잡도가 낮습니다.
   • PR:L: 일반 사용자 권한만으로 시도가 가능합니다.
   • UI:N: 사용자 상호작용 없이 실행 가능합니다.

악용 가능성: 본 취약점은 Linux kernel의 PPS(Pulse Per Second) 서브시스템에서 발생하는 Use-After-Free(UAF) 결함으로, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 시스템에 이미 일반 사용자 권한으로 접근해 있어야 하며, 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 PPS 장치를 제어하는 커널 인터페이스와 이를 사용하는 gpsd, ntpd와 같은 서비스의 종료 프로세스(sys_exit) 과정에 국한됩니다. EPSS 수치가 0.00256으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 커널 메모리 오염 위험에도 불구하고 실제 야생(In-the-wild)에서의 악용 사례가 거의 없음을 시사합니다. 결과적으로 특정 하드웨어 구성과 서비스 종료 타이밍이 일치해야 하는 까다로운 트리거 조건으로 인해 실질적인 악용 가능성은 낮으나, 로컬 권한 상승을 노리는 정밀한 타겟 공격의 경로가 될 수 있습니다.

1. 기술적 위험:
   • 권한 상승: 로컬 사용자가 커널 권한을 획득하여 시스템 전체를 장악할 수 있습니다.
   • 서비스 중단: 잘못된 메모리 참조로 인한 Kernel Panic 및 시스템 크래시가 발생하여 가용성이 상실됩니다.
2. 비즈니스 영향:
   • 시스템 신뢰성 저하: 특히 GPS/NTP 동기화가 중요한 임베디드 장비(예: Raspberry Pi 등)에서 예기치 못한 재부팅이나 서비스 중단이 발생하여 운영 연속성에 영향을 줍니다.
   • 데이터 무결성 위협: 커널 권한 획득 시 시스템 내 모든 데이터에 접근 및 수정이 가능합니다.

• 추정 체이닝 패턴: Memory-Corruption (UAF) $\rightarrow$ Kernel Address Leak (정보 유출) $\rightarrow$ Privilege Escalation (권한 상승).
• 일반적인 커널 UAF 패턴상, KASLR을 우회하기 위한 메모리 주소 유출 취약점과 체이닝될 가능성이 높습니다.

1. 로그 지표: 커널 로그(dmesg, /var/log/kern.log)에서 kobject_put() 관련 WARNING 메시지와 Use-after-free 스택 트레이스 확인.
2. 탐지 규칙 예시:
   • 로직: dmesg 또는 커널 링 버퍼 내 특정 패턴 매칭
   • 패턴: /(kobject: '(null)' .* is not initialized, yet kobject_put\(\) is being called|pps pps\d+: removed)/
3. 오탐 시나리오 및 튜닝:
   • 시나리오: 정상적인 시스템 종료 또는 재부팅 과정에서 드라이버 해제 순서 문제로 일시적으로 발생할 수 있습니다.
   • 튜닝: 단순 로그 발생 여부보다는 동일한 PID에서 반복적인 kobject 관련 경고가 발생하는지, 혹은 비정상적인 프로세스(예: 쉘)가 PPS 인터페이스에 접근하는지를 함께 분석하여 탐지 정밀도를 높입니다.

• 즉시 (긴급 차단):
  • 불필요한 경우 gpsd 및 ntpd 서비스 중지 및 비활성화. (난이도: 하 / 영향: 시간 동기화 기능 상실 / 검증: systemctl status gpsd)
• 단기 (완화):
  • 일반 사용자의 커널 모듈 로드 제한 및 /dev/pps* 장치 파일에 대한 접근 권한(Permission)을 최소화하여 공격 표면 축소. (난이도: 중 / 영향: 특정 애플리케이션 작동 불가 가능성 / 검증: ls -l /dev/pps*)
• 근본 (해결):
  • 영향 범위에 해당하는 Linux Kernel 버전을 최신 패치 버전으로 업데이트.
    • 5.10 $\rightarrow$ 5.10.236+
    • 5.15 $\rightarrow$ 5.15.180+
    • 6.1 $\rightarrow$ 6.1.130+
    • 6.6 $\rightarrow$ 6.6.77+ (제공된 영향 범위의 상한선 기준)
  • (난이도: 중 / 영향: 재부팅 필요로 인한 일시적 서비스 중단 / 검증: uname -r 확인)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00256, 백분위 0.1719)을 바탕으로 실제 야생 악용 가능성은 매우 낮으나 이론적 심각도(CVSS 7.8)가 높음을 반영하였습니다. 이에 따라 KEV 미등재 및 exploit=hard 조건을 고려하여 'scheduled' 우선순위로 결정되었습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00256 · exploit=hard · in_scope=None