[단독분석] 분석 — CVE-2026-31671

• 심각도 medium · CVSS 5.5 · EPSS 0.0012 · 악용난이도 hard

• 취약점 원리: xfrm_user 모듈의 build_report() 함수 내에서 struct xfrm_user_report 구조체를 생성할 때, __u8 proto 필드 이후 발생하는 3바이트의 패딩(padding) 영역이 제로화(zeroing)되지 않은 채 사용자 공간(userspace)으로 복사됨.
• 공격 경로: 로컬 권한을 가진 사용자가 커널 메모리의 초기화되지 않은 데이터를 읽어낼 수 있는 info leak 경로를 통해 촉발됨.

악용 가능성: 본 취약점은 Linux kernel의 xfrm_user 모듈 내 build_report() 함수에서 발생하는 Information Leak로, 구조체 패딩 영역의 초기화 누락으로 인해 커널 메모리의 잔재 데이터가 사용자 공간으로 유출되는 결함입니다. 공격 난이도는 Hard로 판단되며, 이는 AV:L(Local) 벡터에 따라 공격자가 이미 시스템에 접근하여 낮은 권한(PR:L)을 획득한 상태에서만 트리거할 수 있기 때문입니다. 공격 표면은 xfrm 관련 Netlink 소켓 엔드포인트이며, 특정 리포트 요청 파라미터를 통해 커널 메모리 값을 읽어내는 방식으로 동작합니다. EPSS 수치는 0.0012로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않아 야생에서의 실제 악용 사례는 미관측 상태입니다. 다만, 이론적 심각도와 별개로 유출된 메모리 주소 값이 ASLR(Address Space Layout Randomization)과 같은 커널 보호 기법을 무력화하는 징검다리로 활용될 수 있다는 점에서 잠재적 위험이 존재합니다. 결과적으로 단독 공격보다는 권한 상승(Privilege Escalation)을 위한 보조 수단으로 악용될 가능성이 높습니다.

• 기술적 위험: 커널 스택이나 힙에 남아 있던 이전 데이터(uninitialized memory)가 유출될 수 있음. 이는 그 자체로 시스템 장악을 가능케 하지는 않으나, 추정: ASLR(Address Space Layout Randomization) 우회 등을 위한 커널 주소 정보 수집 단계에서 활용될 위험이 있음.
• 영향 제품 및 규모: Linux Kernel 2.6.19.1부터 6.19.13까지 매우 광범위한 버전(8개 이상의 주요 버전군)에 걸쳐 영향이 미치므로, 공급망 관점에서 노출 규모가 매우 큼.
• 비즈니스 리스크: CVSS 점수 5.5 및 AV:L(Local) 특성상 외부 네트워크를 통한 직접적 침투 위험은 낮으나, 내부 위협 또는 이미 침투한 공격자가 권한 상승을 위해 정보를 수집하는 단계에서 리스크가 발생함. 가용성이나 무결성에 직접적 타격보다는 기밀성(Confidentiality) 훼손에 집중됨.

• 연계 가능성: 단독으로 시스템 권한을 획득할 수는 없으나, 메모리 주소를 유출하는 특성을 이용해 다른 커널 메모리 손상(Memory Corruption) 취약점과 체이닝하여 공격 성공률을 높이는 보조 수단으로 활용될 가능성이 있음.

• 핵심 지표: xfrm_user 관련 시스템 호출 및 build_report() 함수를 빈번하게 호출하며 비정상적인 메모리 패턴을 읽어내려는 로컬 프로세스의 행위 모니터링.
• 패턴 예시: 추정: /dev/xfrm 또는 관련 netlink 소켓을 통한 반복적인 리포트 요청 트래픽 확인.

• 근본 해결: 영향 범위에 포함된 Linux Kernel 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 build_report() 내 구조체 제로화 로직을 적용함.
• 즉시 조치 및 우선순위:
  • 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으나, EPSS 수치가 0.0012(백분위 0.02143)로 매우 낮아 실제 야생에서의 악용 가능성은 희박함.
  • 규칙 기반 우선순위 결정(CVSS 5.5, non-KEV, exploit=hard)에 따라 'monitor' 등급으로 분류됨. 즉각적인 긴급 패치보다는 정기 업데이트 주기에 맞춘 대응을 권고함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0012 · exploit=hard · in_scope=None