[분석가] 분석 — CVE-2025-71114

• 심각도 medium · CVSS 5.5 · EPSS 0.00123 · 악용난이도 hard

x86 플랫폼에서 부팅 시 VIA watchdog 드라이버(via_wdt)가 allocate_resource() 로 MMIO 영역을 이름 없이 할당합니다. 이로 인해 /proc/iomem 에 “<BAD>” 항목이 남으며, 이후 자원 조회·충돌 검사 단계에서 커널이 정상적으로 처리하지 못해 부팅 과정이 멈춥니다. 공격자는 로컬 권한으로 시스템을 재부팅하거나 초기화 단계에 진입할 수 있을 때만 해당 결함이 발현됩니다.

악용 가능성: AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 상호작용 없음)이라는 CVSS 벡터는 공격자가 시스템에 직접 접근해 로우 권한 계정만으로도 시도를 할 수 있음을 의미하지만, 해당 취약점이 커널 부팅 단계에서 VIA watchdog 드라이버가 MMIO 영역을 이름 없이 예약하면서 발생하므로 실제 악용을 위해서는 부팅 프로세스에 개입하거나 커널 모듈을 로드할 수 있는 환경이 필요합니다. 따라서 공격 표면은 네트워크·프로토콜이 아니라 /proc/iomem에 나타나는 내부 리소스 트리와 드라이버 초기화 루틴이며, 외부에서 직접 접근할 수 있는 엔드포인트가 존재하지 않습니다. EPSS 0.00123이라는 실측값은 현재 관찰된 악용 가능성이 매우 낮다는 것을 보여주며, KEV에 등재되지 않은 점도 아직 실제 공격이 보고되지 않았음을 뒷받침합니다. 이러한 조건에도 불구하고 로우 권한 계정만으로 부팅 시점에 커널 리소스 트리를 조작할 수 있다면 시스템 전체가 멈출 위험이 존재하므로, 방어 입장에서는 “hard” 등급을 유지하는 것이 적절합니다. 요약하면, 공격자는 로컬 접근과 최소 권한만 있으면 되지만, 부팅 과정에 대한 제어라는 추가적인 전제가 필요해 실질적

• 기술적 위험

  • 가용성: 부팅 시 커널이 정지하여 서비스 전체가 중단됩니다(CVSS A:H).
  • 기밀성·무결성: CVSS 점수에 따라 영향을 받지 않음(C:N/I:N).

• 비즈니스 리스크

  • SLA 위반 및 복구 비용 증가 등 가용성 손실 위험이 존재합니다.
  • 영향 제품이 Linux 커널 3.3.1 ~ 6.18.3 버전까지 광범위하게 포함되어 있어, 다수의 배포판·클라우드 이미지에 노출될 가능성이 높습니다(교차검증 결과 일관성 확인).

• 노출 규모 및 악용 전망

  • EPSS = 0.00123(백분위 0.02474) 로 실제 악용 사례는 현재 낮지만, 공격 난이도가 “hard”이며 로컬 접근만으로도 트리거될 수 있어 모니터링 우선순위가 부여되었습니다([우선순위 결정] 참고).

유사한 자원 할당 오류로 인한 부팅 실패는 과거 커널 버그(CVE‑2022‑xxxx 등)와 패턴을 공유합니다. 현재 보고된 바에 따르면 이 결함 자체가 직접적인 권한 상승(LPE) 경로를 제공한다는 증거는 없으며, 다른 메모리 손상 취약점과 연계될 경우 LPE 가능성이 추정됩니다.

• /proc/iomem 에 “<BAD>” 문자열이 존재하는지 확인: grep '<BAD>' /proc/iomem.
• dmesg 로그에서 via_wdt: 로 시작되는 자원 할당 오류 메시지를 모니터링: dmesg | grep -E 'via_wdt.*(failed|error)'.
• 위 두 항목을 SIEM 혹은 로그 수집 시스템에 연동하여 부팅 단계 이상 징후를 실시간 탐지합니다.

1. 즉시 조치

   • /proc/iomem 에 <BAD> 항목이 보이면 blacklist via_wdt 를 모듈 블랙리스트에 추가하거나 부팅 옵션에 watchdog=0 을 지정해 해당 드라이버 로드를 차단합니다.
   • 시스템을 재부팅하여 정상 부팅 여부를 확인하고, 로그에서 오류가 사라졌는지 검증하시기 바랍니다.

2. 근본 해결

   • 배포판 제공자가 발표한 패치가 포함된 최신 커널 버전(예: 6.1.160 이후, 6.6.120 이후 등)으로 업데이트합니다.
   • 자동 업데이트 정책을 활성화하고, 취약점 스캐너에 CVE-2025-71114 검사를 포함시켜 지속적인 패치 상태를 관리하시기 바랍니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00123 · exploit=hard · in_scope=None