[단독분석] 분석 — CVE-2025-21706

• 심각도 medium · CVSS 5.5 · EPSS 0.00205 · 악용난이도 hard

• 로컬 프로세스가 netlink 인터페이스(mptcp_pm_nl_set_flags)를 이용해 fullmesh 플래그를 implicit 엔드포인트에 설정할 수 있습니다.
• CVSS 벡터 AV:L/AC:L/PR:L/UI:N 에서 알 수 있듯, 낮은 권한(예: CAP_NET_ADMIN)만으로도 트리거가 가능합니다.
• 플래그 변경이 잘못 적용되면 MPTCP 서브플로우가 비정상적으로 생성·삭제되어 네트워크 자원 소모가 발생할 위험이 있습니다.

악용 가능성: CVSS 벡터 AV:L은 공격자가 대상 호스트에 로컬로 접근해야 함을 의미하며, mptcp 경로‑관리자의 netlink 인터

• 기술적 위험: 현재 알려진 바에 따르면 원격 코드 실행이나 권한 상승은 직접 일어나지 않으며, 주된 위험은 MPTCP 서브플로우 관리 오류에 따른 서비스 성능 저하·불안정입니다.
• 비즈니스 영향: MPTCP를 활용하는 클라우드·통신 서비스에서 트래픽 재조정이 비정상적으로 이루어지면 가용성 감소와 SLA 위반 위험이 있습니다. 규제·컴플라이언스 측면에서는 네트워크 안정성을 요구받는 환경(예: 금융, 의료)에서 간접적인 신뢰 손실이 발생할 수 있습니다.
• 영향 제품 및 노출 규모: linux_kernel 5.18‑6.1.129, 6.2‑6.6.78, 6.7‑6.12.13, 6.13‑6.13.2 버전 전반에 걸쳐 존재하므로 배포된 서버·컨테이너·가상 머신 등 광범위한 환경에 노출될 가능성이 높습니다.
• 근거: 다중 소스 교차검증 결과 일관성이 확인되었으며([교차검증]), EPSS 0.00205와 “hard” 악용 난이도는 실제 공격 관측이 매우 드물다는 점을 시사합니다([실측 악용예측]).

• 동일한 netlink 인터페이스를 이용하는 다른 MPTCP 혹은 네트워크 스택 권한 상승 취약점과 결합될 경우, 초기 로컬 권한 확보 이후 추가적인 시스템 제어가 가능할 수 있습니다. 구체적 CVE 번호는 확인되지 않았으니, 기존에 보고된 netlink‑based 권한 상승 이슈와의 연계 가능성을 염두에 두시기 바랍니다.

• 커널 로그에 다음과 같은 경고 메시지가 출력되는지를 모니터링합니다.
  text복사

   1WARNING: CPU: * PID: * at net/mptcp/pm_netlink.c:1496 __mark_subflow_endp_available
   2... mptcp_pm_nl_fullmesh ...
   3... mptcp_nl_set_flags ...

• auditd 혹은 syslog에서 net/mptcp/pm_netlink.c 파일 라인 1496‑2064 범위의 메시지를 필터링합니다.
• Netlink 트래픽을 캡처하고, fullmesh 플래그 변경 요청(NLMSG_TYPE = MPTCP_PM_NL_SET_FLAGS)이 발생하면 알림을 생성하도록 설정합니다.

• 즉시 조치: 위 경고 로그가 관찰되면 해당 시스템을 격리하고, fullmesh 플래그 변경 시도를 차단하는 커널 파라미터(net.mptcp.fullmesh=0)를 적용합니다.
• 근본 해결: 취약점이 패치된 최신 커널(예: 6.13.3 이상 또는 해당 배포판의 보안 업데이트)으로 업그레이드합니다.
• 추가 방어: MPTCP 기능을 사용하지 않는 경우 CONFIG_MPTCP 옵션을 비활성화하거나, netlink 접근 권한을 최소화하여 CAP_NET_ADMIN 이상의 권한이 없는 프로세스가 해당 인터페이스에 접근하지 못하도록 합니다.
• 우선순위 판단: CVSS 5.5·비‑KEV·EPSS 0.00205·악용 난이도 “hard”를 고려해, 현재는 모니터링 중심 대응을 권고합니다([우선순위 결정]). 지속적인 로그 감시와 패치 적용 일정 수립이 핵심입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00205 · exploit=hard · in_scope=None