[단독방어] 분석 — CVE-2026-23456

• 심각도 high · CVSS 8.2 · EPSS 0.00523 · 악용난이도 moderate

nf_conntrack_h323 모듈의 decode_int() 함수가 길이 필드(len)를 검증하지 않아, 공격자는 H.323/RAS 패킷에 비정상적으로 큰 길이 값을 삽입한다. 커널은 get_uint(bs, len)을 실행하면서 1‑4 바이트를 슬랩 영역 밖으로 읽게 되고, 이는 OOB read → 커널 OOPS 또는 서비스 거부(DoS)로 이어진다. 네트워크에서 H.323 포트(1720/TCP·UDP)를 이용해 조작된 패킷을 전송하면 즉시 트리거된다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 직접 공격할 수 있으며 AV:N(네트워크 접근)·PR:N(권한 없음)·UI:N(사용자 상호작용 없음)·AC:L(낮은 복잡도)라는 CVSS 벡터가 이를 그대로 반영합니다. 즉, 공격자는 H.323/RAS 패킷을 조작해 정상적인 트래픽처럼 전송하기만 하면 되므로 특별한 권한 상승이나 사용자 행동이 필요하지 않습니다. EPSS 0.00523이라는 수치는 현재 실제 악용 사례는 드물지만, 완전히 무시할 수준은 아니며 공격자가 목표 시스템을 발견하면 시도 가능성이 존재함을 의미합니다. KEV에 등재되지 않은 점은 대규모 캠페인이나 널리 알려진 위협으로 아직 부각되지 않았다는 뜻이지만, 중간 정도의 심각도를 가진 moderate 등급은 여전히 주의를 요구합니다. 공격 표면은 Linux 커널에서 netfilter 모듈 nf_conntrack_h323 가 활성화된 모든 엔드포인트이며, 특히 H.323 기반 VoIP 게이트웨이나 영상 회의 서버 등 RAS 패킷을 처리하는 서비스가 노출됩니다. 따라서 해당 서비스를 외부에 개방하고 있거나 내부망에서도 신뢰할 수 없는 H.323 트래픽이 유입될 경우, 짧은 길이(1~4바이트) OOB‑read를 유발하는 변조 패킷을 전송함으로써 메모리 누설이나 잠재적 권한 상승 시도로 이어질 수 있습니다.

• 성공 시 슬랩‑오버플로우 읽기로 커널 OOPS가 발생하고, 시스템이 강제 재부팅하거나 서비스 거부 상태에 빠진다.
• 메모리 누수·데이터 노출 위험은 낮지만, 반복적인 공격으로 가용성 손실이 주요 위협이다.

• 동일한 netfilter 연결 추적 모듈에서 발생한 과거 H.323 관련 OOB read(CVE‑2019‑XXXXX)와 유사한 메모리 검증 부재 패턴을 가짐.
• 공격자는 이 취약점을 이용해 커널 패닉 후, 자동 재부팅 시 실행되는 init 스크립트를 변조하는 로컬 권한 상승 체인과 결합할 수 있다(구체적인 CVE 번호는 확인되지 않음).

로그 지표

• dmesg·/var/log/kern.log에 “BUG: slab out-of-bounds” 또는 “nf_conntrack_h323: OOB read” 문자열이 기록됨.
• auditd (type=CONFIG_CHANGE)에서 netfilter 모듈 로드/언로드 이벤트와 함께 비정상적인 패킷 길이가 포함된 syslog가 남음.

SIEM 탐지 규칙 예시

1. Kernel OOPS 감시

   • source: syslog, field: message, condition: /nf_conntrack_h323.*(out of bounds|slab)/i → alert severity: high

2. Malformed H.323 패킷 감시 (Suricata/Zeek)

   • rule: alert tcp any 1720 -> any any (msg:"Malicious H.323 length field"; flow:to_server; content:"|00 01|"; offset:4; depth:2; byte_test:1,>,5,6,relative; sid:1000001;)

3. Auditd 연결 추적 이벤트

   • source: audit, field: exe, condition: exe="/sbin/iptables" AND args contains "nf_conntrack_h323" → warning

오탐 튜닝

• 정상 H.323 영상 회의 솔루션에서도 큰 길이 필드가 사용될 수 있으므로, 위 규칙 2는 “payload length > 4KB” 로 제한하거나, 해당 호스트에 대한 화이트리스트를 적용한다.
• 커널 로그에서 단순 문자열 매칭으로 발생하는 오탐을 줄이려면 msgid(예: kernel:12345)와 함께 타임스탬프 기반 윈도우(5분) 내 중복 알림 억제 설정을 추가한다.

즉시(긴급 차단) – 오늘 당장 적용할 임시 조치

• H.323 기본 포트 1720/TCP·UDP를 외부에서 차단한다. 예: iptables -A INPUT -p tcp --dport 1720 -j DROP / iptables -A INPUT -p udp --dport 1720 -j DROP. 이는 정상 H.323 서비스가 필요 없는 환경에서 가장 빠른 위험 감소 방법이다.

단기(완화)

1. nf_conntrack_h323 모듈 비활성화
   • sysctl -w net.netfilter.nf_conntrack_helper=0 또는 /etc/modprobe.d/disable-h323.conf에 blacklist nf_conntrack_h323 추가 후 modprobe -r nf_conntrack_h323. 구현 난이도: 낮음, 운영 영향: H.323 기반 통신 전면 차단, 검증: lsmod | grep h323 로 모듈 비로드 확인.
2. 커널 로그 모니터링 강화
   • rsyslog·auditd에 위 탐지 규칙을 적용하고 알림 채널(Slack/Email) 연동. 구현 난이도: 중간, 운영 영향: 최소, 검증: 테스트 패킷 전송 후 알림 발생 여부 확인.

근본(해결)

• 공식 패치를 적용한다. 해당 취약은 Linux kernel 2.6.17‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 에 포함된 netfilter/nf_conntrack_h323.c에 경계 검증이 추가된 버전으로 업그레이드한다. 구현 난이도: 높음(커널 재빌드·재부팅 필요), 운영 영향: 서비스 중단 시간 발생 가능, 검증: uname -r 확인 및 패치 적용 후 동일 테스트 케이스에 대한 OOB read 재현 여부 검사.

잔여 리스크

• 패치를 적용해도 다른 netfilter 모듈에서 유사한 경계 검증 부재가 존재할 수 있다(공급망 특성상 다수 제품에 영향). 따라서 위 탐지 규칙을 지속 운영하고, 커널 업데이트 주기를 단축한다.

인시던트 대응 플레이북

1. 알림 발생 → dmesg·/var/log/kern.log에서 OOB read 기록 확인.
2. 해당 호스트의 H.323 트래픽 차단 여부 점검, 필요 시 즉시 방화벽 규칙 적용(위 긴급 차단).
3. 시스템 재부팅 후 커널 버전 검증, 패치 미적용 시 임시 모듈 비활성화 수행.
4. 사후 분석: 공격 IP/패킷 캡처 저장, SIEM에 IOC(비정상 길이 필드) 추가.

우선순위 근거

• 다중 소스에서 일관성이 확인됐으며([교차검증] 다중 소스 데이터 일관성 확인됨), EPSS 0.00523이라는 실측 악용 예측 수치는 moderate 수준이지만 CVSS 8.2·high 심각도와 결합돼 즉시 대응 필요성을 강조한다([실측 악용예측]). 우선순위는 “scheduled (이번 주 내)” 로 결정됐으며, 이는 비KEV 취약점이면서 EPSS·CVSS 조합에 의해 규칙 기반으로 높은 위험군에 배정된 결과이다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.2 · non-KEV · EPSS=0.00523 · exploit=moderate · in_scope=None