[단독분석] 분석 — CVE-2026-23458

• 심각도 high · CVSS 7.8 · EPSS 0.00131 · 악용난이도 hard

로컬 사용자가 netlink 소켓을 열어 ctnetlink dump 요청을 전송하면, 커널 내부의 ctnetlink_dump_exp_ct() 가 conntrack 객체에 대한 참조를 바로 해제합니다. 이후 dump가 여러 라운드에 걸쳐 진행될 경우 두 번째 recvmsg() 호출에서 해제된 ct->ext 를 역참조하게 되어 슬랩‑use‑after‑free가 발생하고, 커널 메모리가 손상됩니다. 이 단계에서 공격자는 임의 코드 실행 또는 시스템 크래시를 유발할 수 있습니다. AV:L·AC:L·PR:L·UI:N 로, 별도의 권한 상승이나 사용자 입력 없이 저권한 로컬 계정만으로도 트리거 가능합니다.

악용 가능성: AV:L·AC:L·PR:L·UI:N 벡터는 공격자가 로컬 시스템에 저권한 계정으로 접근해도 추가적인 사용자 동작 없이 순차적인 netlink dump 요청만으로 공격을 수행할 수 있음을 의미합니다. 실제로 이 취약은 ctnetlink_dump_exp_ct()가 conntrack 객체를 cb->data에 저장하고, netlink_dump_start() 직후 바로 해제하기 때문에, 두 번째 recvmsg() 라운드에서 이미 해제된 객체를 dereference 하는 상황이 발생합니다. 따라서 공격자는 동일 프로세스 내에서 연속적인 netlink 메시지를 전송해 dump 를 여러 라운드에 걸쳐 수행해야 하며, 이는 로컬 권한을 가진 일반 사용자라도 가능하지만 네트워크 스택 내부 구조에 대한 이해가 필요합니다. EPSS 값이 0.00131로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 공개된 악용 사례가 없으며, 이론적 심각도와는 별개로 실제 위협이 제한적임을 보여줍니다. 공격 표면은 netfilter c​tnetlink 인터페이스를 통해 노출되는 netlink 소켓이며, 해당 소켓에 접근 가능한 로컬 프로세스가 전제조건입니다. 따라서 난이도는 “hard”로 평가되지만, 로컬 저권한 사용자가 특정 순서와 횟수로 netlink dump 를 트리거할 수 있다는 점에서 완

• 기술적 위험

  • 슬랩‑use‑after‑free 로 인한 커널 메모리 손상 → 루트 권한 획득·전체 시스템 장악 가능.
  • ct->ext 구조체 변조 시 netfilter 연결 추적 및 방화벽 규칙이 비정상적으로 동작하여 네트워크 보안 정책 우회가 발생할 수 있음.
  • 커널 패닉 또는 재부팅으로 서비스 가용성 중단(DoS) 위험.

• 비즈니스 영향

  • 시스템 다운타임에 따른 서비스 중단 비용 증가 및 SLA 위반 가능성.
  • 핵심 인프라가 손상될 경우 데이터 무결성·보호 의무 위반으로 규제·컴플라이언스 리스크 발생.
  • 보안 사고 보고와 평판 저하로 추가적인 운영·법적 비용이 발생할 수 있음.

• 영향 제품 및 노출 규모

  • Linux kernel 3.10‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 등 다수 버전에 존재함[교차검증].
  • 해당 커널을 사용하는 모든 서버·임베디드 디바이스가 잠재적 노출 대상이며, 공급망 차원에서 광범위하게 영향을 미칠 수 있음.

• 악용 가능성

  • EPSS 0.00131(실측값)으로 현재 관측된 실제 악용 사례는 낮지만 완전히 배제되지 않음[실측 악용예측].
  • KEV에 등재되지 않아 공개 PoC·야생 악용은 미관측이며, exploit 난이도는 hard으로 평가됨.

이 취약은 CWE‑416(Use‑After‑Free) 패턴을 따르며, 과거 로컬 권한 상승 취약점들과 연계될 경우 초기 권한 확보 후 커널 전체 장악으로 이어질 수 있습니다. 동일 파일(netfilter/ctnetlink.c) 내 다른 dump 함수가 올바른 .start/.done 콜백을 사용하고 있다는 점은 코드 경로 차별화를 통한 방어 가능성을 시사합니다.

• KASAN·kmemleak 로그에 slab-use-after-free 와 ctnetlink_exp_ct_dump_table+0x... 주소가 기록될 경우.
• auditd 또는 eBPF 기반 모니터링으로 ctnetlink netlink 소켓에 대한 연속적인 recvmsg() 호출 패턴을 감시.
• ftrace·perf 로 nf_ct_help() 호출 직전 ct->ext 포인터 값이 NULL 혹은 비정상 주소인 경우 추적.

1. 패치 적용 – 해당 커널 버전에 포함된 최신 보안 업데이트(또는 공식 backport 패치를) 즉시 배포합니다.
2. 접근 제한 – 불필요한 로컬 netlink 접근을 차단하고, ctnetlink 소켓 파일 권한을 최소화(chmod 600 /proc/net/...)합니다.
3. 보안 강화 – SELinux/AppArmor 정책으로 해당 netlink 인터페이스 사용을 제한하고, KASAN·SELinux 로그를 정기적으로 검토합니다.
4. 모니터링 – 위 탐지 지표를 기반으로 실시간 알림을 설정해 이상 징후를 조기에 포착합니다.

우선순위는 CVSS 7.8·non‑KEV·EPSS 0.00131·exploit hard 를 근거로 이번 주 내에 패치 적용 및 모니터링 체계 구축을 scheduled 로 결정했습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00131 · exploit=hard · in_scope=None