[공격] 분석 — CVE-2024-53124

• 심각도 medium · CVSS 4.7 · EPSS 0.00205 · 악용난이도 hard

(1) 트리거 조건

• sk_buff 구조체의 sk_forward_alloc 필드에 대한 동시 접근 제어 미흡으로 인한 Data Race 발생.
• 특정 네트워크 패킷 처리 과정에서 소켓 파괴(inet_sock_destruct)와 메모리 할당/참조 로직이 충돌할 때 트리거됨.

(2) 공격 단계

• 정찰: 타겟 시스템의 커널 버전 확인 (4.4 ~ 6.11.10 범위 내).
• 초기 접근: 로컬 사용자 권한 확보 (PR:L). 네트워크 소켓을 생성하고 조작할 수 있는 권한 필요.
• 실행: 다중 스레드/프로세스를 통해 특정 네트워크 상태를 유도하여 sk_forward_alloc에 대한 경쟁 상태(Race Condition) 강제 발생.
• 영향: 커널 패닉(Kernel Panic) 또는 시스템 크래시 유발 $\rightarrow$ 서비스 거부(DoS).

(3) 공격 표면

• 노출 엔드포인트: Linux Kernel Network Subsystem (net/ipv4/af_inet.c).
• 관련 함수: inet_sock_destruct, sk_forward_alloc 관련 메모리 관리 로직.
• 프로토콜: IPv4 기반 네트워크 소켓 통신.

(4) CVSS 벡터 분석

• AV:L: 로컬 접근 필요. 원격에서 직접 트리거는 불가능하며, 이미 시스템에 진입한 공격자가 수행함.
• AC:H: Race Condition 특성상 정확한 타이밍을 맞춰야 하므로 공격 난이도가 매우 높음.
• PR:L: 낮은 수준의 권한만으로도 소켓 조작이 가능하여 트리거 가능.
• UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux kernel의 네트워크 스택 내 sk_forward_alloc 처리 과정에서 발생하는 Data Race 결함으로, 공격 난이도는 매우 높습니다(Hard). AV:L 및 PR:L 조건에 따라 공격자는 이미 시스템에 낮은 권한의 계정으로 접근한 상태여야 하며, AC:H가 시사하듯 특정 타이밍에 메모리 경합을 유도해야 하는 정밀한 레이스 컨디션 제어가 필수적입니다. EPSS 수치가 0.00205로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 커널 패닉이나 메모리 오염 가능성에도 불구하고 실제 야생(In-the-wild)에서 무기화된 사례가 거의 없음을 뒷받침합니다. 공격 표면은 af_inet.c의 inet_sock_destruct 등 소켓 파괴 및 할당과 관련된 커널 내부 함수와 네트워크 프로토콜 스택으로 국한됩니다. 결과적으로 공격자가 로컬에서 특수하게 조작된 네트워크 트래픽이나 소켓 작업을 반복 수행하여 정확한 윈도우에 충돌을 일으켜야 하므로, 실전 악용 가능성은 매우 희박합니다.

(1) 기술적 위험

• 시스템 가용성 파괴: 커널 내 WARNING 발생 및 이후 패닉으로 인한 전체 시스템 다운 (DoS).
• 추정: 메모리 오염 상태에 따라 매우 희박한 확률로 권한 상승이나 임의 코드 실행 가능성이 있으나, 현재 리포트상으로는 A:H(가용성 높음) 위주의 영향만 확인됨.

(2) 비즈니스 영향

• 서비스 중단: 커널 크래시로 인한 서버 다운타임 발생 및 서비스 가용성 상실.
• 인프라 신뢰도 저하: 예기치 못한 시스템 재부팅으로 인한 데이터 정합성 위험 가능성.

• 체이닝 경로: Local Access $\rightarrow$ Kernel Data Race (DoS) $\rightarrow$ System Crash.
• 추정: 이 결함 단독으로는 권한 상승이 어려우나, 다른 커널 메모리 누수(Memory Leak)나 Use-After-Free 취약점과 체이닝될 경우, 레이스 컨디션을 이용해 특정 메모리 레이아웃을 조작함으로써 더 높은 권한을 획득하는 경로로 이어질 수 있음.

(1) 로그 지표

• 커널 로그(dmesg, /var/log/syslog) 내 WARNING: CPU: ... at net/ipv4/af_inet.c:156 inet_sock_destruct 패턴 확인.

(2) 탐지 규칙 예시

• 로직: grep -E "WARNING.*inet_sock_destruct" /var/log/kern.log
• SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message MATCHES ".*net/ipv4/af_inet\.c.*inet_sock_destruct.*"

(3) 오탐 시나리오 및 튜닝

• 오탐: 극히 드문 네트워크 부하 상황에서 발생하는 일시적 커널 경고.
• 튜닝: 동일한 inet_sock_destruct 경고가 짧은 시간 내에 반복적으로 발생하거나, 이후 Kernel Panic 로그가 뒤따르는 경우만 고위험군으로 분류.

• 즉시(긴급 차단): 해당 취약점은 로컬 권한이 전제되므로, 불필요한 일반 사용자의 시스템 접근 제한 및 신뢰할 수 없는 바이너리 실행 차단 (난이도: 하 / 영향: 낮음).
• 단기(완화): 커널 파라미터 튜닝을 통해 네트워크 소켓 자원 할당 제한 또는 모니터링 강화 (난이도: 중 / 영향: 성능 저하 가능성 있음).
• 근본(해결): Linux Kernel 6.11.11 이상 또는 각 배포판에서 제공하는 최신 보안 패치 적용 및 커널 업데이트 (난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단).

[파이프라인 근거]

• 교차검증: 다중 소스 데이터 간 일관성이 확인되어 신뢰도 1.0으로 분석함.
• EPSS: 실측값 0.00205 (백분위 0.10702)는 이론적 심각도와 별개로 실제 야생(Wild)에서의 악용 가능성이 매우 낮음을 의미함.
• 우선순위: CVSS 4.7, non-KEV, EPSS 저수치 및 로컬 접근(AV:L), 높은 공격 난이도(AC:H)를 근거로 monitor 등급으로 결정함.

• 조치: monitor (모니터링)
• 근거: CVSS=4.7 · non-KEV · EPSS=0.00205 · exploit=hard · in_scope=None