[공격] 분석 — CVE-2024-58056

• 심각도 medium · CVSS 5.5 · EPSS 0.00171 · 악용난이도 hard

• 트리거 조건: rproc_alloc() 함수 실행 중 ida_alloc 호출 이전 단계에서 에러가 발생할 때 트리거됨. 에러 핸들러가 put_device(&rproc->dev)를 호출하고, 이어서 rproc_type_release()가 실행되는데, 이때 rproc->index가 초기값인 0으로 설정되어 있어 할당되지 않은 ID(0)에 대해 ida_free()를 호출하는 결함임.
• 공격 단계:
  1. 정찰: 타겟 시스템의 커널 버전 및 remoteproc 기반 드라이버(예: STM32 rproc 등) 로드 여부 확인.
  2. 초기 접근: 로컬 권한 획득 (AV:L, PR:L). 일반 사용자 계정 또는 제한된 권한의 서비스 계정 필요.
  3. 실행/트리거: remoteproc 관련 장치 생성이나 리소스 할당을 유도하는 시스템 콜 또는 드라이버 인터페이스 호출. 추정: 특정 하드웨어 자원 부족 상태를 인위적으로 만들어 rproc_alloc() 내에서 에러를 강제 발생시킴.
  4. 영향: 커널 로그에 WARNING 메시지 출력 및 커널 패닉으로 인한 시스템 가용성 상실(DoS).
• 공격 표면: Linux Kernel remoteproc core 모듈, 특히 rproc_alloc() 함수와 관련된 장치 드라이버 인터페이스.
• CVSS 벡터 연결:
  • AV:L/PR:L: 로컬에서 권한을 가진 사용자가 커널 API나 관련 디바이스 노드에 접근 가능해야 함.
  • AC:L: 조건(에러 발생)만 맞으면 복잡한 우회 기법 없이 트리거 가능.
  • UI:N: 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux kernel의 remoteproc 서브시스템 내에서 발생하는 Use-After-Free 또는 Invalid Free 계열의 결함으로, 공격 난이도는 Hard로 판정됩니다. CVSS 벡터 상 AV:L 및 PR:L 조건은 공격자가 이미 시스템에 일반 사용자 권한으로 접근하여 로컬 셸을 확보해야 함을 의미하며, 이는 초기 침투 단계가 선행되어야 하는 제약 사항입니다. EPSS 수치가 0.00171로 매우 낮고 KEV에 등재되지 않은 점은 현재까지 야생(In-the-wild)에서 이 취약점을 단독으로 이용한 공격 사례가 희박함을 시사합니다. 실제 트리거 조건은 rproc_alloc() 함수 수행 중 ida_alloc 호출 전 에러가 발생하여 ida_free()가 할당되지 않은 인덱스(id=0)를 해제하려 할 때 형성됩니다. 공격 표면은 /sys/class/remoteproc와 같은 커널 인터페이스 및 관련 디바이스 드라이버의 제어 파라미터에 국한되며, 특정 하드웨어 환경과 커널 설정이 일치해야 하는 의존성이 큽니다. 결과적으로 단순한 Crash(DoS) 유발 가능성은 있으나, 이를 통해 권한 상승이나 임의 코드 실행으로 연결하기 위해서는 메모리 레이아웃을 정밀하게 제어하는 추가적인 체이닝 기법이 필수적입니다.

• 기술적 위험:
  • 서비스 중단 (DoS): 잘못된 메모리/ID 해제 시도로 인한 커널 WARNING 발생 및 시스템 불안정화, 최악의 경우 커널 패닉으로 인한 재부팅 유발.
  • 추정: 단순히 경고만 출력될 가능성이 높으나, 환경에 따라 ida_free 오류가 치명적인 상태로 이어질 수 있음.
• 비즈니스 영향:
  • 가용성 저하: 임베디드 시스템이나 특정 하드웨어 가속기를 사용하는 서버의 경우 시스템 다운타임 발생.
  • 신뢰도 하락: 커널 레벨의 불안정성으로 인한 장치 오작동 가능성.

• 체이닝 경로:
  • 추정: Double Free 또는 Use-After-Free (UAF) 패턴과 유사한 메모리 관리 오류임. 단독으로는 DoS에 그치지만, 다른 커널 메모리 오염 취약점과 체이닝될 경우 추정: 커널 힙 구조를 조작하여 권한 상승(LPE)으로 이어질 가능성이 이론적으로 존재함.
  • 패턴: Error Path 내의 잘못된 자원 해제 $\rightarrow$ 커널 상태 불일치 $\rightarrow$ 후속 작업에서의 메모리 오염.

• 로그 지표: 커널 링 버퍼(dmesg) 및 /var/log/syslog에서 ida_free called for id=0 which is not allocated 메시지 확인.
• 탐지 규칙:
  1. 패턴 매칭: grep "ida_free called for id=0 which is not allocated" /var/log/kern.log
  2. SIEM 쿼리(의사코드): SELECT * FROM kernel_logs WHERE message LIKE '%ida_free%' AND message LIKE '%not allocated%'
  3. 정규식: ida_free\s+called\s+for\s+id=0\s+which\s+is\s+not\s+allocated
• 오탐 시나리오 및 튜닝: 정상적인 드라이버 로딩 실패 시에도 발생할 수 있음. 특정 사용자 계정이 반복적으로 해당 로그를 생성하는지 빈도(Threshold) 기반으로 튜닝하여 공격 의도를 식별함.

• 즉시 (긴급 차단): remoteproc 관련 모듈이나 취약한 하드웨어 드라이버의 사용을 중단하거나, 불필요한 경우 modprobe -r로 언로드. (난이도: 저 / 영향: 해당 기능 사용 불가)
• 단기 (완화): 로컬 사용자 권한을 최소화하여 커널 인터페이스 및 디바이스 노드(/dev/)에 대한 접근 제어(ACL) 강화. (난이도: 중 / 영향: 운영 프로세스 변경 필요)
• 근본 (해결): 패치된 Linux 커널 버전으로 업데이트.
  • 대상 버전: 6.1.130+, 6.6.77+, 6.12.14+, 6.13.3+ 등 각 브랜치의 수정 버전 적용. (난이도: 중 / 영향: 시스템 재부팅 필요)

[파이프라인 근거]: 본 분석은 다중 소스 데이터의 일관성이 확인된 교차검증 결과를 바탕으로 합니다. 실측 EPSS 수치(0.00171, 백분위 0.06834)는 이론적 CVSS 점수와 별개로 실제 야생에서의 악용 가능성이 매우 낮음을 의미하며, 이에 따라 KEV 미등재 및 AV:L 조건을 고려하여 우선순위를 monitor로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00171 · exploit=hard · in_scope=None