[공격] 분석 — CVE-2025-37917

• 심각도 medium · CVSS 5.5 · EPSS 0.00166 · 악용난이도 hard

(1) 트리거 조건: mtk-star-emac 드라이버의 rx/tx poll 과정에서 DMA 인터럽트를 다시 활성화할 때, spin_lock과 spin_unlock을 사용하여 동일 CPU에서 락을 중복해서 획득하려는 시도가 발생하면 트리거됨.

(2) 공격 단계:

• 정찰: 대상 시스템이 MediaTek MT8365 등 해당 드라이버를 사용하는 하드웨어인지 확인.
• 초기 접근: 로컬 사용자 권한 획득 (CVSS PR:L 근거).
• 실행/영향: 네트워크 트래픽을 유발하여 rx/tx poll 루틴을 강제 실행 $\rightarrow$ 인터럽트 핸들러(mtk_star_handle_irq) 내에서 spinlock recursion 발생 $\rightarrow$ 커널 패닉(Kernel Panic) 및 시스템 중단.
• 전제조건: 공격자가 로컬 셸 권한을 가지고 있거나, 네트워크 인터페이스를 조작할 수 있는 권한이 있어야 함.

(3) 공격 표면:

• 하드웨어/드라이버: mtk-star-emac 이더넷 드라이버.
• 함수: mtk_star_handle_irq, rx/tx poll 관련 루틴.
• 프로토콜: Ethernet (L2 트래픽 유발).

(4) CVSS 벡터 연결:

• AV:L (Local): 네트워크 패킷만으로 원격 트리거가 가능할지 추정되나, 현재 벡터는 로컬 접근을 전제로 함.
• AC:L (Low): 특정 조건의 트래픽 생성만으로 트리거 가능하여 복잡도가 낮음.
• PR:L (Low): 일반 사용자 권한으로 네트워크 인터페이스에 영향을 줄 수 있는 환경을 전제함.

악용 가능성: 본 취약점은 mtk-star-emac 드라이버 내 RX/TX Poll 과정에서 발생하는 Spinlock Recursion으로, 공격 난이도는 Hard로 판정됩니다. AV:L 및 PR:L 벡터가 시사하듯, 공격자는 이미 시스템에 로그인한 상태에서 로컬 권한을 보유해야 하며, 특정 MediaTek 하드웨어 기반의 Linux 커널 환경이라는 매우 제한적인 공격 표면(Attack Surface)을 가집니다. 트리거 조건은 네트워크 인터페이스의 DMA 인터럽트 재활성화 시점에 맞춘 정밀한 레이스 컨디션 유발이며, 이는 이론적으로는 DoS(Kernel Panic)를 야기하지만 권한 상승으로 이어지기 위한 제어 흐름 탈취 난이도가 매우 높습니다. EPSS 수치가 0.00166으로 극히 낮고 KEV에 등재되지 않은 점은 실제 야생(In-the-wild)에서 이 취약점을 이용한 공격 사례가 거의 없음을 방증합니다. 결과적으로 특정 임베디드 하드웨어 의존성과 로컬 접근 권한이라는 전제 조건 때문에 범용적인 악용 가능성은 낮으나, 해당 칩셋을 사용하는 특수 목적 장비에서는 커널 가용성을 무너뜨리는 타겟팅 공격 경로가 될 수 있습니다.

(1) 기술적 위험: 서비스 중단 (DoS). Spinlock recursion은 커널 수준의 Deadlock 또는 BUG 상태를 유발하여 시스템이 즉시 멈추거나 재부팅됨. 데이터 유출이나 권한 상승으로 이어질 가능성은 낮음.
(2) 비즈니스 영향: 해당 드라이버를 사용하는 임베디드 장비나 서버의 가용성 상실. 특히 산업용 제어기나 네트워크 게이트웨이로 사용될 경우 서비스 전체 마비 초래.

• 체이닝 경로: 추정: [로컬 권한 획득] $\rightarrow$ [본 CVE를 이용한 DoS] $\rightarrow$ [시스템 재부팅 과정에서의 Race Condition/Bootloader 취약점] $\rightarrow$ [권한 상승].
• 유형 수준: 본 결함은 단독으로 RCE나 권한 상승을 일으키기보다, 시스템을 불안정한 상태로 만들어 다른 커널 취약점을 공격하기 위한 환경 조성(DoS 기반의 상태 변화) 용도로 사용될 수 있음.

(1) 로그 지표: 커널 링 버퍼(dmesg) 또는 /var/log/kern.log에서 BUG: spinlock recursion on CPU#0 및 mtk_star_handle_irq가 포함된 Call Trace 확인.
(2) 탐지 규칙:

• 로직: grep -E "spinlock recursion.*mtk_star_emac" /var/log/syslog
• SIEM 쿼리 예시: index=linux_logs message="*spinlock recursion*" AND message="*mtk_star_emac*"
  (3) 오탐 시나리오: 하드웨어 결함으로 인한 무작위 커널 패닉. 단, Call Trace에 mtk_star_handle_irq가 명시되어 있다면 본 취약점일 확률이 매우 높음.

• 즉시(긴급 차단): 해당 드라이버를 사용하는 인터페이스의 불필요한 트래픽 유입을 ACL로 제한. (난이도: 하 / 영향: 낮음 / 검증: 트래픽 모니터링)
• 단기(완화): 커널 파라미터를 통해 인터럽트 처리 방식을 조정하거나, 영향을 받는 네트워크 인터페이스를 비활성화. (난이도: 중 / 영향: 가용성 저하 / 검증: ifconfig 상태 확인)
• 근본(해결): Linux Kernel 업데이트 적용. spin_lock $\rightarrow$ spin_lock_irqsave, spin_unlock $\rightarrow$ spin_unlock_irqrestore로 수정된 패치 버전으로 업그레이드. (난이도: 중 / 영향: 재부팅 필요 / 검증: uname -r 및 드라이버 버전 확인)

[분석 근거]

• 교차검증: 다중 소스에서 취약점 내용 및 영향 제품 범위의 일관성이 확인됨.
• EPSS: 0.00166 (백분위 0.0627)로 실측 악용 가능성은 매우 낮음(hard). 이는 로컬 권한 필요 및 특정 하드웨어 종속성 때문임.
• 우선순위: monitor 결정. CVSS 5.5의 중간 심각도이나, KEV 미등재 및 낮은 EPSS 수치를 근거로 즉각적인 전수 조사보다는 패치 주기 내 업데이트를 권고함.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00166 · exploit=hard · in_scope=None