[분석가] 분석 — CVE-2026-23475

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

• 원리: SPI 컨트롤러가 driver core에 등록된 후 per-cpu statistics가 할당되는 구조적 결함으로 인해, 할당 전 특정 시점(Window)에 sysfs 속성에 접근하면 NULL-pointer dereference가 발생합니다.
• 경로 및 단계: Local Access $\rightarrow$ SPI 관련 sysfs 인터페이스 접근 $\rightarrow$ 초기화 미완료 상태의 포인터 참조 $\rightarrow$ Kernel Panic (DoS).
• 특이사항: 공격 벡터(AV:L, PR:L)상 이미 시스템 권한을 가진 로컬 사용자가 트리거해야 하며, 단순 crash 유발 외에 메모리 오프셋 정밀 제어를 통한 LPE(권한 상승) 가능성은 추정 단계이나 실측 사례는 미관측되었습니다.

악용 가능성: 본 취약점은 Linux kernel의 SPI(Serial Peripheral Interface) 컨트롤러 통계 할당 로직 결함으로 인한 NULL-pointer dereference 취약점입니다. 공격 난이도는 hard로 평가되며, 이는 CVSS 벡터 AV:L/PR:L에 따라 공격자가 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 한다는 전제조건 때문입니다. 공격 표면은 /sys 파일시스템 내의 SPI 컨트롤러 관련 sysfs 속성 엔드포인트이며, 컨트롤러 등록과 통계 할당 사이의 Race Condition 윈도우 내에서 해당 파라미터에 접근함으로써 트리거됩니다. EPSS 수치는 0.00123으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아, 야생에서의 실제 악용 사례는 미관측 상태입니다. 따라서 이론적인 심각도와 달리, 로컬 권한 획득이라는 높은 진입장벽과 정교한 타이밍 공격이 필요하다는 점에서 실제 악용 가능성은 제한적입니다.

• 기술적 위험: CVSS:3.1/AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H 벡터에 따라 기밀성·무결성 영향은 없으나 가용성(Availability)에 치명적입니다. 성공 시 즉각적인 시스템 중단 및 재부팅이 강제되는 Denial of Service (DoS) 상태가 됩니다.
• 비즈니스 리스크:
  • 인프라 가용성: 단일 노드의 패닉이 단순 장애를 넘어, 동일 호스트 커널을 공유하는 컨테이너 워커 노드 전체의 다운으로 이어져 서비스 복구 시간(TTR) 급증 및 SLA 위반을 초래할 수 있습니다.
  • 연쇄 장애: 추정: 가상화 환경이나 오케스트레이션 구조에서 특정 워크로드의 가용성 타격이 클러스터 전체의 연쇄 장애(Cascading Failure)로 확산될 리스크가 존재합니다.
• 노출 규모: linux_kernel 6.0부터 6.19까지 매우 광범위한 버전이 영향권에 있어, 다수의 엔터프라이즈 서버 및 임베디드 시스템이 잠재적 위협에 노출된 공급망 취약점 특성을 보입니다.

• 패턴: 초기화 순서 오류(Initialization Order Error) 및 Race Condition 패턴입니다.
• 체이닝 가능성: 단독으로는 DoS만 가능하나, 추정: 시스템을 불안정한 상태로 유도한 뒤 다른 LPE 취약점과 결합하여 실행 흐름을 제어하는 보조 수단으로 활용될 가능성이 있습니다.

• 로그 분석: dmesg 또는 /var/log/syslog 내 'spi' 관련 NULL pointer dereference 및 커널 OOPS/Panic 스택 트레이스 모니터링.
• 행위 패턴: 권한이 낮은 계정이 /sys/class/spi_master/... 등 SPI 관련 sysfs 경로에 비정상적으로 빈번하게 접근하는 행위 탐지.

• 근본 해결: statistics 할당 시점을 컨트롤러 등록 전으로 앞당긴 최신 커널 패치를 적용하십시오.
• 즉시 조치:
  • SELinux 정책 또는 파일 권한 설정을 통해 신뢰할 수 없는 로컬 사용자의 sysfs 접근을 제한하십시오.
  • 불필요한 SPI 드라이버 로드를 차단하여 공격 표면을 제거하십시오.
• 우선순위 판단: 다중 소스 데이터 일관성이 확인(신뢰도 1.0)되었으나, EPSS 실측값(0.00123)이 매우 낮고 KEV 미등재 및 exploit=hard 등급인 점을 근거로 규칙 기반 우선순위를 monitor로 결정하였습니다. 즉각적인 긴급 패치보다는 정기 업데이트 주기에 맞춘 적용을 권고하되, 클러스터 환경의 경우 가용성 리스크를 고려하여 패치 순위를 조정하십시오.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None