[단독방어] 분석 — CVE-2026-43011

• 심각도 critical · CVSS 9.8 · EPSS 0.00591 · 악용난이도 moderate

• X.25 패킷을 수신하면 net/x25/x25_in.c의 x25_queue_rx_frame()이 alloc_skb() 실패 시 kfree_skb(skb)를 호출하고 1을 반환합니다.
• 반환값이 상위 함수들을 타고 전파되어 x25_backlog_rcv()에서도 동일한 skb가 다시 kfree_skb()돼 double free 가 발생합니다.
• 커널 내부 메모리 손상이 트리거되면 공격자는 특수하게 조작된 X.25 프레임을 이용해 임의 코드 실행(RCE) 또는 시스템 전체 권한 상승을 달성할 수 있습니다.

악용 가능성: 이 취약점은 AV:N(네트워크를 통한 원격 접근)이 가능하고, AC:L(공격 복잡도 낮음)·PR:N(권한 요구 없음)·UI:N(사용자 개입 전혀 필요)이라는 CVSS 벡터가 그대로 실제 공격 조건에 대응됩니다. 즉, X.25 프로토콜을 지원하도록 커널 모듈이 로드된 시스템이라면 외부에서 특수하게 조작된 X.25 패킷만 전송하면 언제든지 트리거될 수 있습니다. alloc_skb가 메모리 부족 상황에서 실패하고 반환값 1이 전파되는 흐름을 이용해 동일한 skb를 두 번 kfree_skb() 하는 것이 핵심이며, 이는 커널 힙의 이중 해제로 서비스 거부(DoS) 혹은 권한 상승까지 이어질 수 있는 심각한 메모리 손상입니다. EPSS 0.00591이라는 낮은 실측 확률과 KEV 미등재에도 불구하고, “네트워크 전용·무인증·복잡도 낮음”이라는 공격 전제조건이 충족되면 실제 위협으로 작동할 가능성이 충분히 존재합니다. 공격 표면은 PF_X25 소켓을 통해 노출되는 네트워크 인터페이스와 해당 모듈이 처리하는 모든 X.25 프레임이며, 특히 메모리 압박 상황에서 발생하는 할당 실패 경로가 직접적인 트리거 포인트입니다. 따라서 이 취약점은 moderate 등급에 합당한 “원격·저복잡도·무권한” 공격이 가능한 상태라고 판단됩니다.

• 성공적인 악용 시 커널 패닉이 발생하거나, 메모리 손상을 통해 루트 권한 획득이 가능합니다.
• 공격자는 네트워크 접근만 있으면 원격에서 익스플로잇을 수행할 수 있어, 내부·외부 모두에 높은 위협이 됩니다.

• 동일한 메모리 관리 오류를 이용하는 CWE‑415: Double Free 계열 취약점과 연계될 수 있습니다.
• 커널 주소 공간 레이아웃 랜다마이제이션(KASLR) 우회를 위한 정보 누출(예: CVE‑2024‑xxxx)과 결합하면 익스플로잇 성공 확률이 높아집니다.

로그 위치·필드

• /var/log/kern.log, dmesg 출력, 시스템 저널(journalctl -k)에 “double free” 또는 “kfree_skb: skb freed twice” 문자열이 기록됩니다.
• auditd의 syscall=__kmalloc/syscall=kfree 이벤트에서 동일한 skb 주소가 두 번 해제되는 패턴을 감시합니다.

SIEM 쿼리 예시 (Elastic Kibana)

 1event.module:"kernel" AND
 2message:*kfree_skb*AND*double* OR message:*skb freed twice*

정규식 기반 탐지 (Splunk)

 1index=kernel ("kfree_skb.*(double|twice)" OR "skb freed twice")

의사코드형 탐지 로직 (Pseudo)

 1if log.message contains "kfree_skb" and
 2   previous_log_of_same_skb exists with "kfree_skb"
 3then alert("Potential double free of skb in X.25 driver")

오탐 시나리오 및 튜닝

• 정상적인 커널 디버그 빌드에서 동일한 문자열이 반복될 수 있음 → kernel.debug 레벨 로그만 필터링하거나, “alloc_skb failed”와 연계된 경우에만 경보를 발생시킵니다.
• X.25 모듈을 사용 중인 환경에서는 실제 double free가 아닌 정상적인 해제 흐름일 가능성이 있으므로, skb 주소 추적을 통해 동일 주소가 연속 2회 이상 해제된 경우에만 알림 수준을 높입니다.

• X.25 패킷 차단 – 방화벽에서 X.25 (프로토콜 번호 5) 트래픽을 차단합니다.

  text복사

   1iptables -A INPUT -p x25 -j DROP
   2ip6tables -A INPUT -p x25 -j DROP

  구현 난이도: 중간 → 방화벽 정책에 추가 필요.
  운영 영향: X.25를 이용한 정상 통신 전부 차단, 서비스 레이어에서 대체 프로토콜 검토 필요.
  검증 방법: iptables -L -v -n 로 규칙 존재 확인, 외부에서 X.25 패킷 송신 시 차단 여부 테스트.

• 커널 로그 모니터링 강화 – 앞서 제시한 SIEM 쿼리를 실시간 알림으로 등록하고, 경보 발생 시 자동 티켓 생성 프로세스를 구축합니다.
  구현 난이도: 중간 → 기존 SIEM 정책에 추가.
  운영 영향: 로그량 증가에 따른 저장소 사용량 약간 상승.
  검증 방법: 테스트 로그(예: echo "kfree_skb double" >> /var/log/kern.log) 로 경보 트리거 확인.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00591 · exploit=moderate · in_scope=None