[분석가] 분석 — CVE-2025-71189

• 심각도 medium · CVSS 5.5 · EPSS 0.00183 · 악용난이도 hard

(1) 트리거 조건: dmaengine 내 dw: dmamux 모듈에서 route 할당 중 실패가 발생할 때, 이미 참조된 DMA master OF node의 reference를 적절히 해제하지 않는 결함을 이용합니다.
(2) 공격 단계:

• 정찰 및 초기 접근: 공격자가 대상 시스템에 Local Account 권한을 획득하여 접속합니다 (전제조건: PR:L).
• 실행: 특정 하드웨어 리소스나 드라이버를 통해 DMA route 할당 실패를 유도하는 작업을 반복적으로 수행합니다.
• 영향: 메모리 내 OF node reference가 누적되어 resource leak이 발생하며, 최종적으로 시스템 자원 고갈을 유도합니다.
  (3) 공격 표면: Linux 커널의 dmaengine 및 dw: dmamux 드라이버 인터페이스.
  (4) CVSS 벡터 연결: AV:L(로컬 접근 필요), AC:L(공격 복잡도 낮음), PR:L(낮은 권한의 사용자 계정 필요), UI:N(사용자 상호작용 불필요). 즉, 시스템에 로그인한 일반 사용자가 커널 드라이버의 자원 해제 미흡을 이용해 가용성을 저해하는 구조입니다.

악용 가능성: 공격 난이도 및 악용 가능성 분석

본 취약점은 AV:L/AC:L/PR:L/UI:N 벡터를 가지며, 공격자가 대상 시스템에 이미 낮은 권한(PR:L)의 쉘 접근 권한을 확보한 상태에서만 트리거가 가능한 로컬 취약점입니다. 공격 표면은 Linux kernel의 dmaengine 내 dw: dmamux 모듈이며, 구체적으로는 DMA route 할당 실패 시 발생하는 OF(Open Firmware) node 참조 누수 지점이 타겟이 됩니다. 이론적인 복잡도는 낮으나(AC:L), 커널 메모리 누수를 통해 시스템 자원을 고갈시키거나 특정 상태를 유도해야 하므로 실제 공격 성공 난이도는 hard로 판정됩니다. EPSS 수치는 0.00183으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에도 등재되지 않아, 현재 야생에서 실질적인 악용 사례가 관측되지 않은 이론적 위협 단계입니다. 따라서 외부망을 통한 직접적인 침투보다는 내부 권한 상승이나 서비스 거부(DoS)를 목적으로 하는 정밀한 타겟 공격 시나리오에서 제한적으로 악용될 가능성이 있습니다.

(1) 기술적 위험: Resource Leak으로 인한 메모리 고갈 및 이로 인한 시스템 불안정성 또는 Denial of Service (DoS)가 발생합니다. CVSS 벡터상 A:H로 정의되어 서비스 가용성에 직접적인 영향을 줍니다.
(2) 비즈니스 영향:

• 서비스 가용성: 커널 수준의 자원 고갈로 인해 시스템이 응답하지 않거나 Crash될 경우, 해당 서버에서 구동 중인 모든 서비스가 중단됩니다.
• 노출 규모: Linux kernel 5.19.1 ~ 6.18.7 사이의 광범위한 버전이 영향권에 있으나, 특정 하드웨어(DesignWare DMA) 및 드라이버 설정이 활성화된 환경으로 제한될 것으로 추정됩니다.

• 체이닝 패턴: 추정: 단일 결함으로는 DoS에 그치지만, 메모리 누수로 인해 시스템의 다른 보안 메커니즘(예: 메모리 할당자)이 불안정한 상태가 될 때, 이를 다른 Memory Corruption 취약점과 연계하여 권한 상승(Privilege Escalation)을 시도하는 경로로 활용될 가능성이 있습니다. (유형: Resource Leak $\rightarrow$ System Instability $\rightarrow$ Potential Exploit Chain)

(1) 로그 지표: 커널 로그(dmesg, /var/log/kern.log)에서 dmamux 관련 할당 실패 메시지나 Memory Allocation Failure, OOM(Out of Memory) Killer 작동 기록을 확인합니다.
(2) 탐지 규칙 예시:

• 로직 1 (Slab 메모리 모니터링): slabtop 또는 /proc/slabinfo에서 OF node 관련 객체 수가 비정상적으로 지속 증가하는 패턴 감시.
• 로직 2 (커널 로그 분석): grep -E "dmamux.*allocation failure|out of memory" /var/log/syslog
• 로직 3 (리소스 사용량): 특정 Local User가 실행한 프로세스가 시스템 전체의 커널 메모리 점유율을 급격히 높이는지 모니터링.
  (3) 오탐 시나리오: 실제 하드웨어 결함이나 정상적인 드라이버 오류로 인해 할당 실패 로그가 남을 수 있습니다. 이를 구분하기 위해 동일 계정에서 단시간 내에 반복적으로 해당 패턴이 발생하는지 임계값을 설정하여 튜닝해야 합니다.

• 즉시(긴급 차단): 불필요한 Local User의 시스템 접근 권한을 제한하고, 의심스러운 로컬 프로세스의 실행을 모니터링합니다. (난이도: 저 / 영향: 낮음 / 검증: 접근 제어 리스트 확인)
• 단기(완화): 커널 파라미터 튜닝을 통해 OOM Killer의 동작을 최적화하여 시스템 전체 셧다운을 방지하거나, 영향을 받는 특정 드라이버 모듈의 로드를 제한합니다. (난이도: 중 / 영향: 보통 / 검증: lsmod 및 커널 설정 확인)
• 근본(해결): 영향받는 Linux kernel 버전(5.19.1~6.18.7 등)을 최신 패치 버전으로 업데이트하여 OF node leak 수정 사항을 적용합니다. (난이도: 중 / 영향: 높음(재부팅 필요) / 검증: uname -r로 커널 버전 확인)

[분석 근거]
본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값(0.00183, 백분위 0.08078)과 KEV 미등재 사실, 그리고 AV:L 및 PR:L 조건을 근거로 실제 악용 가능성을 'hard'로 판단하였습니다. 이에 따라 규칙 기반 우선순위 결정 논리에 의해 즉각적인 대응보다는 'monitor(모니터링)' 수준의 우선순위를 부여하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00183 · exploit=hard · in_scope=None