[단독분석] 분석 — CVE-2026-23474

• 심각도 medium · CVSS 5.5 · EPSS 0.00142 · 악용난이도 hard

• 로컬 사용자가 mtd 서브시스템을 통해 RedBoot 파티션 테이블 파서를 호출하면 memcmp 가 할당된 버퍼를 초과 읽어 커널 OOPS가 발생합니다.
• 네트워크 접근이 필요 없으며, 특수한 파일(예: /dev/mtd*)에 대한 읽기 권한만 있으면 트리거할 수 있습니다.
• 결과는 시스템 크래시(Denial‑of‑Service)이며, 추가적인 권한 상승 로직과 결합될 경우 코드 실행으로 이어질 가능성이 존재합니다.

악용 가능성: AV가 Local(L)이라는 것은 공격자가 대상 시스템에 로컬 접근 권한을 이미 보유하고 있어야 함을 의미합니다. 다만 AC가 Low(L)이고 PR이 Low(L), UI가 None(N)으로 설정돼 있으므로, 해당 로컬 환경에서 특수히 조작된 RedBoot 파티션 테이블(플래시 오프셋 0x7e0000)을 제공하기만 하면 복잡한 사전 준비 없이도 버퍼 오버플로우를 유발할 수 있습니다. 실제 공격 조건은 CONFIG_FORTIFY_SOURCE=y와 최신 컴파일러가 적용된 커널 이미지에서, 문자열 비교 함수인 memcmp이 14바이트 버퍼에 대해 15바이트를 읽는 상황을 만들 수 있는 악의적인 파티션 데이터 입력입니다. EPSS 0.00142라는 값은 현재 관측된 실제 악용 사례는 매우 드물지만, 이론적으로 공격 가능성이 존재함을 보여줍니다. KEV 목록에 등재되지 않은 점은 아직 공개적인 대규모 익스플로잇이 보고되지 않았다는 의미이며, 따라서 위협은 “hard” 등급으로 평가됩니다. 요약하면, 로컬 접근 권한만 있으면 낮은 난이도로 커널 OOPS를 일으킬 수 있는 제한된 공격 표면(RedBoot 파티션 파서) 때문에 위험도는 높지만 실제 악용 빈도는 현재로서는 낮다고 판단됩니다.

• 기술적 위험: AV:L/AC:L/PR:L/UI:N 이며, A:H (가용성에 높은 영향)로 커널 패닉이 발생해 서비스 중단을 초래합니다. 기밀성·무결성(C,N/I,N)은 영향을 받지 않습니다.
• 비즈니스 리스크: 서비스 가용성 저하 → SLA 위반, 운영 비용 증가, 규제 대상 시스템(예: 의료·금융)에서는 컴플라이언스 위험이 발생할 수 있습니다.
• 영향 제품 및 규모: Linux kernel 2.6.12.1‑5.10.253, 5.11‑5.15.203, 5.16‑6.1.167, 6.2‑6.6.130, 6.7‑6.12.78, 6.13‑6.18.20, 6.19‑6.19.10 등 다수 버전(8개 이상)에서 발견됩니다. 따라서 서버·임베디드·클라우드 환경 전반에 광범위하게 노출될 가능성이 있습니다.
• 교차검증: 다중 소스에서 일관성이 확인됐으며, 교차검증 결과 신뢰도 1.0입니다.
• EPSS 해석: EPSS 0.00142(백분위 0.03994)는 실제 악용 가능성이 매우 낮지만 완전 배제는 아니므로 “monitor” 수준의 대응이 권고됩니다. 이는 우선순위 판단(CVSS 5.5·non‑KEV·exploit hard)에서 반영되었습니다.

• 동일 mtd 파싱 로직을 이용한 다른 버퍼 오버플로우 취약점과 결합될 경우, 후속 로컬 권한 상승(LPE)이나 커널 코드 실행으로 이어질 수 있습니다. 현재 확인된 구체적인 CVE 번호는 없습니다.

• dmesg·/var/log/kern.log 등에 “WARNING: lib/string_helpers.c:* memcmp: detected buffer overflow” 와 함께 “RedBoot partition table” 문자열이 포함된 OOPS 로그가 발생하면 탐지 가능합니다.
• 보안 SIEM에서 위와 같은 메시지를 서명(Signature)으로 설정해 실시간 알림을 받을 수 있습니다.

• 즉시: 해당 커밋(439a1bcac648) 이후가 포함된 최신 커널 패치를 적용합니다.
• 임시: CONFIG_FORTIFY_SOURCE=y 옵션을 비활성화하거나, 영향을 받는 mtd 모듈 로드를 차단해 파서 실행을 방지합니다.
• 장기: 정기적인 커널 업데이트 프로세스를 구축하고, 보안 알림(예: kernel.org 메일링리스트)을 지속적으로 모니터링하여 신규 취약점에 신속히 대응합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00142 · exploit=hard · in_scope=None