[단독공격] 분석 — CVE-2025-21702

공격 전제

• 로컬 환경에서 tc(netlink) 명령을 이용해 Qdisc 체인을 구성할 수 있는 권한이 필요합니다(PR:L).
• sch->limit 값을 0 으로 설정 가능한 qdisc(pfifo_head_drop) 가 존재해야 합니다.

공격 표면

• /sbin/tc, iproute2의 netlink 인터페이스 → Qdisc 파라미터(limit) 수정
• 패킷 전송 경로 : 사용자 공간 → NIC 입력 → 네트워크 스택 → 지정된 qdisc (Qdisc_A→Qdisc_B)

단계별 흐름

1. 정찰 – tc qdisc show 로 현재 인터페이스에 연결된 Qdisc 구조를 확인하고, hfsc(또는 다른 graft 지원)와 pfifo_head_drop 조합이 존재하는지 탐색합니다.
2. 초기 접근 – tc qdisc change dev <iface> parent <id> pfifo_head_drop limit 0 로 Qdisc_B 의 limit 을 0 으로 설정합니다(가능한 경우).
3. 실행·권한 획득 – 대상 인터페이스에 트래픽을 지속적으로 전송합니다(예: ping -i 0.001). hfsc_enqueue 가 호출된 뒤, pfifo_tail_enqueue 가 실행됩니다. sch->limit == 0 상황에서 기존 패킷이 없으면 드롭 단계가 무시되고 qlen 이 +1 증가하면서 함수는 NET_XMIT_CN 을 반환합니다.
4. 지속 – 위 과정을 반복하면 qdisc 의 내부 qlen 값이 제한 없이 누적됩니다. 커널은 실제 큐 길이와 sch->limit 사이의 불일치를 감지하지 못해, 메모리 할당 및 스케줄링 로직에 비정상적인 부하가 발생합니다.
5. 영향 – 결국 qlen 과 연관된 메모리 구조가 포화되면서 패킷 전송이 차단되고, 커널 패닉 또는 시스템 전체 DoS 상태에 도달할 수 있습니다.

CVSS 벡터와 실제 조건 매핑

• AV:L → 로컬 netlink 인터페이스 사용
• AC:L → 복잡도 낮음(단순 tc 파라미터 변경)
• PR:L → 일반 사용자라도 CAP_NET_ADMIN 권한이 부여된 경우 가능(다수 배포판에서 기본 제공)
• UI:N → 자동화 스크립트로 무인 실행 가능

• 권한 상승 : 동일 호스트에 존재하는 CAP_NET_ADMIN 취약점(CVE‑xxxx‑yyyy)과 결합하면 비특권 사용자가 직접 이 로직을 이용할 수 있습니다.
• 정보 노출 : qdisc 상태를 /proc/net/ 혹은 tc -s qdisc 로 열람해 비정상적인 qlen 변동을 감지하고, 이를 기반으로 추가 공격(예: 커널 메모리 레이아웃 추론)으로 이어질 수 있습니다.