[방어] 분석 — CVE-2025-21702

• 심각도 high · CVSS 7.8 · EPSS 0.00267 · 악용난이도 hard

취약한 qdisc인 pfifo_head_drop(내부 구현은 pfifo_tail_enqueue)를 사용 중이며, sch->limit 값을 0 으로 설정하고 비어 있는 스케줄러에 패킷을 enqueue 하면 “패킷 드롭” 단계가 수행되지 않아 qlen 이 1씩 증가합니다. 로컬 프로세스는 netlink (tc qdisc add …) 혹은 raw socket 을 이용해 해당 qdisc 에 패킷을 삽입하고, 연속 호출을 통해 qlen 을 비정상적으로 부풀립니다. 결과적으로 커널 스케줄러가 실제 큐보다 큰 길이를 인식하게 되어 메모리·CPU 자원을 고갈시켜 DoS 상황을 초래합니다.

악용 가능성: 해당 취약점은 CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 따라 로컬 시스템에 대한 저권한(일반 사용자)만 있으면 복잡도 없이 바로 이용할 수 있습니다. 즉, 공격자는 루트 권한이 없어도 tc·netlink 등으로 qdisc의 limit 값을 0으로 설정하고 비어 있는 스케줄러에서 패킷을 전송하기만 하면 됩니다. EPSS = 0.00267이라는 실측값은 현재까지 실제 악용 사례는 드물지만, 완전히 무시할 수 없는 수준이며 공격 가능성이 존재함을 의미합니다. KEV에 등재되지 않은 점은 아직 대규모 위협으로 확산되지 않았음을 나타내지만, 이론적 심각도와 별개로 로컬 환경에서 특수 조건만 충족하면 악용이 가능합니다. 트리거 조건은 “스케줄러가 비어 있을 때 sch->limit을 0

• 서비스 거부(DoS): qlen 이 비정상적으로 증가하면 큐 오버플로우가 발생하고, 패킷 전송이 중단됩니다.
• 트래픽 정책 회피: 대역폭 제한·우선순위 제어가 무시되고 임의 트래픽을 전송할 수 있습니다.
• 잠재적 권한 상승: qdisc 구조 손상으로 커널 메모리 오류가 발생하면, 후속 메모리 손상 취약점과 결합해 루트 권한 획득 가능성이 존재합니다(추정).

• CWE‑400 (Resource Exhaustion) 패턴과 유사하게 큐 길이를 인위적으로 증가시켜 시스템 자원을 고갈시키는 경우와 연계될 수 있습니다.
• 다른 네트워크 스케줄러 구현에서도 limit == 0 검증이 누락된 경우, 동일한 큐 길이 조작 취약점으로 체인될 가능성이 있습니다(추정).

1. 커널 로그
   • dmesg·syslog 에 "pfifo_tail_enqueue" 와 반환값 NET_XMIT_CN 가 함께 기록되는 경우가 흔합니다. 예시 문자열:

 1pfifo_tail_enqueue: limit=0 qlen now 1 returned NET_XMIT_CN

1. Auditd 규칙 – netlink RTM_NEWQDISC 에서 limit 속성이 0 인 경우를 기록
   text복사

    1auditctl -a always,exit -F arch=b64 -S sendmsg -F a0=16 \
    2         -F msgtype=RTM_NEWQDISC -F key=limit=0 -k zero_limit_qdisc

2. SIEM 쿼리 예시 (Splunk)
   text복사

    1index=linux sourcetype=kern.log "pfifo_tail_enqueue" AND "NET_XMIT_CN"
    2| regex _raw="limit=0"
    3| stats count by host, _time

3. BPF/kprobe 탐지 – pfifo_tail_enqueue 진입 시점에 sch->limit 값을 검사하고 0 인 경우 이벤트를 발생시키는 BPF 프로그램을 배포(코드 제공 금지).

오탐 튜닝

• 정상적인 트래픽 제한 설정(limit > 0)에서는 경고가 발생하지 않도록 limit=0 조건만 필터링합니다.
• 테스트 환경에서 의도적으로 0‑limit qdisc 를 생성한 경우를 제외하고는 알림을 억제하도록 화이트리스트에 해당 호스트·프로세스명을 추가합니다.

• qdisc limit 감시 스크립트를 cron 혹은 systemd‑timer 로 주기 실행하여 /sys/class/net/*/qdisc/*/limit 값이 0 인 경우 알림을 전송하고, 자동으로 tc qdisc change … limit 1 으로 복구합니다.

  • 구현 난이도: 매우 낮음 (쉘 스크립트)
  • 운영 영향: 최소 CPU·I/O 부하, 일시적인 qdisc 재설정 시 네트워크 지연 가능성(짧은 시간)
  • 검증 방법: limit 값이 0 으로 변했을 때 로그에 “Zero‑limit qdisc corrected” 가 기록되는지 확인

• CAP_NET_ADMIN 제한 – 비특권 사용자가 네임스페이스를 생성하거나 netlink socket 을 열 수 없도록 kernel.unprivileged_userns_clone=0 (또는 user.max_user_namespaces=0) 로 설정합니다.

  • 구현 난이도: 중간 (sysctl 적용 및 재부팅 필요)
  • 운영 영향: 컨테이너 기반 워크로드에서 사용자 네임스페이스 생성이 차단되므로, 해당 기능을 사용하는 서비스는 사전 검토가 필요함

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00267 · exploit=hard · in_scope=None