[공격] 분석 — CVE-2025-21764

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

(1) 트리거 조건: ndisc_alloc_skb() 함수가 RTNL lock이나 RCU read-side critical section 없이 호출될 때 발생. 객체가 해제된 후 참조되는 Use-After-Free(UAF) 상태를 유도하여 메모리 오염을 일으킴.
(2) 공격 단계:

• 정찰: 대상 시스템의 커널 버전 확인 (3.9 ~ 6.13.4 범위 내).
• 초기 접근: 로컬 사용자 계정 확보 (AV:L, PR:L 전제).
• 실행 및 권한 획득: ndisc 관련 네트워크 설정 또는 패킷 조작을 통해 ndisc_alloc_skb()의 RCU 보호 누락 지점을 트리거 $\rightarrow$ UAF 발생 $\rightarrow$ 커널 메모리 레이아웃 조작(Heap Spraying 등) $\rightarrow$ 임의 코드 실행 또는 권한 상승.
• 영향: Ring 0 권한 획득 및 시스템 전체 제어.
  (3) 공격 표면: Linux Kernel Network Stack 내 ndisc (Neighbor Discovery Protocol) 컴포넌트. IPv6 환경의 이웃 탐색 관련 함수 및 소켓 인터페이스가 주요 경로임.
  (4) CVSS 벡터 분석:
• AV:L / PR:L: 원격 공격이 아닌, 이미 시스템에 접근 권한을 가진 로컬 사용자가 트리거해야 함.
• AC:L: 조건만 맞으면 트리거 자체는 단순함.
• UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux Kernel의 ndisc_alloc_skb() 함수에서 RCU(Read-Copy Update) 보호 메커니즘 부재로 인해 발생하는 Use-After-Free(UAF) 결함입니다. 공격 벡터가 AV:L인 만큼 원격 공격은 불가능하며, 이미 시스템에 접근 권한을 가진 로컬 사용자(PR:L)가 특수하게 조작된 네트워크 패킷 처리를 유도해야 하므로 공격 난이도는 'Hard'로 판정됩니다. 다만, EPSS 수치가 0.00258로 낮고 KEV에 등재되지 않았음에도 불구하고, 커널 메모리 오염을 통한 권한 상승(Privilege Escalation)이라는 치명적인 결과로 이어질 수 있어 이론적 심각도와는 별개로 잠재적 위협이 존재합니다. 공격 표면은 IPv6 Neighbor Discovery Protocol(NDP) 관련 엔드포인트 및 커널 내 ndisc 모듈의 메모리 할당 로직에 집중됩니다. 실제 악용을 위해서는 레이스 컨디션(Race Condition)을 정밀하게 제어하여 객체가 해제된 시점과 참조하는 시점 사이의 윈도우를 확보해야 하는 까다로운 트리거 조건이 요구됩니다. 결과적으로 이 취약점은 단독으로 활용되기보다, 커널 주소 공간 배치 난수화(KASLR) 우회 기법이나 다른 메모리 누수 결함과 체이닝되어 루트 권한을 획득하는 최종 단계의 페이로드로 악용될 가능성이 높습니다.

(1) 기술적 위험: Memory-Corruption(UAF)으로 인해 커널 패닉(DoS) 또는 권한 상승(Privilege Escalation)이 가능함. 공격자가 루트 권한을 획득할 경우 시스템 내 모든 데이터 접근 및 변조가 가능함.
(2) 비즈니스 영향: 서버 인프라의 무결성 파괴. 특히 다중 테넌트 환경(Cloud/Container)에서 컨테이너 탈출 후 호스트 커널 장악으로 이어질 수 있어 매우 위험함.

• 추정 체이닝 경로: 정보 유출(KASLR 우회) $\rightarrow$ CVE-2025-21764 (UAF) $\rightarrow$ 권한 상승(LPE).
• 원리: UAF 단독으로는 메모리 주소 랜덤화(KASLR)로 인해 실행 가능성이 낮으나, 커널 포인터를 유출하는 다른 Memory Leak 취약점과 체이닝될 경우 공격 성공률이 급격히 상승함.
• 추정 패턴: Slab/Slub Allocator의 특성을 이용한 객체 재할당 기법(Use-After-Free $\rightarrow$ Type Confusion)으로 이어지는 전형적인 커널 익스플로잇 패턴을 따를 것으로 보임.

(1) 로그 지표: dmesg 또는 /var/log/syslog 내의 Kernel Oops, Segmentation Fault, 특히 ndisc_alloc_skb 관련 Call Stack이 포함된 커널 덤프 기록.
(2) 탐지 규칙 예시:

• Logic: 커널 로그에서 General protection fault 또는 Unable to handle kernel paging request와 함께 ndisc 모듈 함수명이 나타나는 패턴 감시.
• Pattern: /(ndisc_alloc_skb|ndisc).*(UAF|Oops|Panic)/i (정규식)
  (3) 오탐 시나리오 및 튜닝: 단순 네트워크 드라이버 불안정으로 인한 커널 패닉과 구분 필요. 특정 사용자 계정이 짧은 시간 내에 반복적으로 네트워크 인터페이스 설정을 변경하며 커널 크래시를 유도하는 행위와 결합하여 분석해야 함.

• 즉시(긴급 차단): IPv6 및 Neighbor Discovery 기능이 불필요한 서버의 경우, sysctl -w net.ipv6.conf.all.disable_ipv6=1을 통해 기능을 비활성화함. (난이도: 하 / 영향: IPv6 통신 불가)
• 단기(완화): 커널 수준의 메모리 보호 기법(KASLR, Stack Protector 등)이 활성화되어 있는지 확인하고, 불필요한 로컬 사용자의 네트워크 설정 권한을 제한함. (난이도: 중 / 영향: 운영 마찰 적음)
• 근본(해결): 영향을 받는 버전 범위의 커널을 패치된 최신 버전으로 업데이트. ndisc_alloc_skb()에 RCU 보호가 추가된 릴리즈 적용 필수. (난이도: 중 / 영향: 재부팅 필요, 가용성 일시 중단)

[분석 근거] 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS(0.00258) 수치를 통해 현재 실제 악용 사례는 매우 낮으나 이론적 심각도(CVSS 7.8)가 높음을 인지함. 이에 따라 즉시 대응보다는 이번 주 내 처리하는 scheduled 우선순위로 결정됨.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None