[단독분석] 분석 — CVE-2025-21875

• 심각도 high · CVSS 7.8 · EPSS 0.00212 · 악용난이도 hard

• 원리: Multipath TCP(MPTCP)의 Path Manager(PM) 제어 경로에서 주소 제거 처리 시 msk socket lock을 일관되게 획득하지 않아 발생하는 Race Condition입니다.
• 경로 및 단계: 로컬 권한(AV:L, PR:L)을 가진 공격자가 Netlink 인터페이스를 통해 MPTCP 소켓의 주소 변경 또는 제거를 유도하여 Lockdep splat(잠금 순서 위반)을 촉발합니다.
• 결과: 커널 내부의 Locking 불일치로 인해 시스템이 정지되는 Kernel Panic 및 서비스 거부(DoS) 상태가 발생합니다.

악용 가능성: 본 취약점은 Linux kernel의 MPTCP(Multipath TCP) 프로토콜 구현 중 주소 제거 과정에서 msk socket lock이 누락되어 발생하는 Race Condition 및 Lockdep 이슈입니다. 공격 벡터가 Local(AV:L)이며 낮은 권한(PR:L)을 요구하므로, 공격자는 이미 대상 시스템에 계정을 보유하거나 원격 코드 실행(RCE)을 통해 로컬 쉘을 확보한 상태여야 합니다. 공격 표면은 MPTCP의 Path Manager 제어 경로와 Netlink 인터페이스를 통한 주소 관리 파라미터 조작으로 국한됩니다. 복잡성(AC:L)은 낮으나, 커널 내부의 정교한 타이밍을 맞춰 Lock 충돌을 유도해야 하므로 실제 익스플로잇 구현 난이도는 hard 수준으로 판단됩니다. EPSS 수치가 0.00212로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 악용 사례가 미관측되었음을 시사하며, 이론적 심각도보다 실제 위협 가능성이 현저히 낮음을 뒷받침합니다. 결과적으로 본 취약점은 원격에서의 직접적인 침투 경로보다는 로컬 권한 상승이나 시스템 가용성 저해(DoS)를 목적으로 하는 정교한 공격 시나리오에서 제한적으로 악용될 가능성이 있습니다.

• 영향 제품 및 규모: Linux Kernel 5.10 버전 및 특정 커밋 범위(b6c0838... $\le$ x $<$ 494ec28...) 내의 시스템이 영향을 받습니다. MPTCP가 활성화된 리눅스 서버 및 엔드포인트가 잠재적 노출 대상입니다.
• 기술적 위험:
  • 서비스 중단(DoS): 커널 패닉으로 인한 즉각적인 가용성 상실이 주된 위험입니다.
  • 추정: 권한 상승(LPE): CVSS의 C:H/I:H/A:H 지표는 성공 시 높은 영향력을 의미하므로, 정교한 타이밍 공격을 통해 커널 메모리 상태를 조작할 경우 권한 상승으로 이어질 가능성이 추정됩니다. 다만 현재 공개된 정보로는 DoS 유발 가능성이 가장 높습니다.
• 비즈니스 리스크: MPTCP를 사용하는 고가용성 네트워크 인프라에서 예기치 못한 다운타임이 발생하여 서비스 신뢰도 하락 및 운영 손실이 발생할 수 있습니다.

• 유형: 커널 내 Race Condition 및 Locking 미비 패턴입니다.
• 체이닝 가능성: 단독으로는 가용성 저해에 그칠 확률이 높으나, 다른 로컬 권한 상승(LPE) 취약점과 결합될 경우 샌드박스 우회나 루트 권한 획득의 단계로 활용될 수 있습니다.

• 커널 로그 모니터링: dmesg 또는 /var/log/syslog에서 다음 패턴을 식별합니다.
  • WARNING: CPU: ... lockdep splat
  • mptcp_pm_nl_addr_send_ack 함수 호출과 관련된 스택 트레이스 및 커널 패닉 메시지

• 근본 해결: msk socket lock 처리 로직이 수정된 최신 Linux Kernel 버전으로 업데이트하십시오.
• 즉시 조치:
  • MPTCP 모듈 사용을 제한하거나 비특권 사용자의 네트워크 설정 변경 권한을 최소화하는 정책을 검토하십시오.
  • 추정: 시스템의 MPTCP 활성화 여부를 확인하고 불필요한 경우 비활성화하십시오.

분석 근거 및 우선순위 결정 정보

• 신뢰도: 다중 소스 데이터 교차검증 결과 일관성이 확인되어 신뢰도 1.0으로 평가합니다.
• 악용 예측: EPSS 실측값 0.00212(백분위 0.11608)는 매우 낮은 수치이며, KEV 미등재 및 exploit=hard 등급을 고려할 때 실제 야생에서의 악용 가능성은 낮습니다.
• 우선순위: CVSS 점수는 7.8(High)로 높으나, 실측 EPSS와 공격 난이도를 근거로 'Scheduled'(이번 주 내 대응) 수준으로 결정하였습니다. 이는 이론적 위험도보다 실제 위협 가시성을 우선한 규칙 기반 판단입니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00212 · exploit=hard · in_scope=None