[공격] 분석 — CVE-2025-38591

• 심각도 medium · CVSS 5.5 · EPSS 0.00193 · 악용난이도 hard

(1) 트리거 조건: BPF 프로그램이 __sk_buff와 같은 컨텍스트 구조체 내의 포인터 필드(sk)에 대해, 해당 필드의 시작 오프셋이 아닌 인접한 좁은 범위(narrower access)의 메모리 영역을 읽으려 할 때 발생함. bpf_skb_is_valid_access가 이를 정상적인 접근으로 오판하여 통과시키고, 이후 bpf_convert_ctx_access 단계에서 유효하지 않은 변환이 일어나 커널 워닝(Kernel Warning)을 유발함.

(2) 공격 단계:

• 정찰: 타겟 시스템의 Linux 커널 버전 확인 (4.13 ~ 6.16.1).
• 초기 접근: BPF 프로그램 로드가 가능한 권한(CAP_BPF 또는 CAP_SYS_ADMIN) 확보. (AV:L/PR:L 조건)
• 실행: 특수하게 설계된 BPF 바이트코드(예: r0 = *(u8 *)(r1 + 169);)를 로드하여 커널의 검증기(Verifier)를 통과시키고 실행 유도.
• 영향: 커널 워닝 발생 및 추정: 특정 상황에서 커널 패닉으로 인한 시스템 가용성 상실.

(3) 공격 표면: bpf() 시스템 콜을 통한 BPF 프로그램 로드 인터페이스. 특히 네트워크 패킷 처리와 관련된 __sk_buff 컨텍스트 접근 로직이 주요 타겟임.

(4) CVSS 벡터 연결:

• AV:L (Local): 로컬 쉘 접근 필요.
• AC:L (Low): 공격 조건이 단순함.
• PR:L (Low): BPF 로드 권한을 가진 일반 사용자 또는 제한적 권한 계정 필요.
• UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점은 Linux kernel의 BPF(Berkeley Packet Filter) verifier가 pointer ctx field에 대한 좁은 범위의 접근(narrower access)을 제대로 차단하지 못해 발생하는 결함으로, 공격 난이도는 Hard로 평가됩니다. 공격 표면은 bpf() 시스템 콜을 통해 로드되는 BPF 프로그램이며, 구체적으로는 __sk_buff와 같은 컨텍스트 구조체의 특정 오프셋(예: offset 169)에 접근하는 비정상적인 인스트럭션을 트리거 조건으로 합니다. CVSS 벡터의 AV:L과 PR:L은 공격자가 이미 시스템에 로그인하여 BPF 프로그램 로드 권한을 가진 상태여야 함을 의미하며, 이는 일반 사용자 권한에서 커널 권한으로 상승하기 위한 Local Privilege Escalation(LPE) 경로로 활용될 수 있습니다. EPSS 수치가 0.00193으로 낮고 KEV에 등재되지 않은 점은 현재 야생에서 자동화된 익스플로잇이 광범위하게 유포되지 않았음을 시사하지만, 커널 메모리 레이아웃을 정밀하게 제어할 수 있는 공격자에게는 여전히 매력적인 타겟입니다. 결과적으로 이 취약점은 단독으로 원격 실행을 일으키지는 않으나, BPF verifier의 논리적 허점을 이용해 커널 경고(Kernel Warning)를 유발하거나 메모리 손상을 일으켜 권한 상승 체이닝의 핵심 고리로 악용될 가능성이 큽니다.

(1) 기술적 위험: 커널 워닝(verifier bug: error during ctx access conversion) 발생으로 인한 시스템 불안정성 및 서비스 중단(DoS). 데이터 유출이나 권한 상승보다는 가용성 침해에 집중됨 (CVSS A:H 반영).
(2) 비즈니스 영향: 서버 인프라의 갑작스러운 재부팅 또는 커널 패닉으로 인한 서비스 다운타임 발생. 다중 소스에서 일관성이 확인된 데이터에 근거할 때, 광범위한 커널 버전에 영향을 미치나 실제 악용 난이도가 높음.

• 체이닝 경로: 추정: [정보 노출(KASLR 우회)] $\rightarrow$ [BPF Verifier 결함] $\rightarrow$ [임의 메모리 읽기/쓰기] $\rightarrow$ [권한 상승(LPE)].
• 원리: 본 취약점 단독으로는 커널 워닝에 그치지만, 만약 검증기의 타입 체크를 완전히 우회하여 포인터 산술 연산을 조작할 수 있는 다른 결함과 체이닝될 경우, 커널 메모리에 대한 임의 접근으로 이어질 가능성이 있음.

(1) 로그 지표: dmesg 또는 /var/log/kern.log 내에 verifier bug: error during ctx access conversion 문자열 포함 여부 확인.
(2) 탐지 규칙 예시:

• 로직: grep -E "verifier bug: error during ctx access conversion" /var/log/syslog
• SIEM 쿼리: process.name == "kworker" AND message CONTAINS "verifier bug" AND message CONTAINS "ctx access conversion"
  (3) 오탐 시나리오: 합법적인 BPF 기반 모니터링 도구(eBPF 기반 보안 솔루션 등)가 최신 커널 기능을 사용하며 일시적으로 워닝을 발생시키는 경우. 튜닝 방법으로는 특정 신뢰된 바이너리에서 생성한 BPF 프로그램의 로드 시점과 로그 발생 시점을 상관 분석하여 필터링함.

• 즉시(긴급 차단): unprivileged_bpf_disabled sysctl 설정을 1 또는 2로 변경하여 비특권 사용자의 BPF 로드를 원천 차단. (난이도: 하 / 영향: BPF 기반 도구 작동 중단 가능성 / 검증: sysctl net.core.bpf_jit_enable)
• 단기(완화): BPF 프로그램 로드 권한(CAP_BPF, CAP_SYS_ADMIN)을 가진 계정을 최소화하고 모니터링 강화. (난이도: 중 / 영향: 운영 프로세스 변경 필요 / 검증: 권한 감사 로그 확인)
• 근본(해결): Linux 커널을 패치된 버전으로 업데이트. (난이도: 상 / 영향: 시스템 재부팅 필수, 가용성 일시 중단 / 검증: uname -r 및 패치 내역 확인)

※ 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성을 확인했으며, EPSS 0.00193(백분위 0.09302)이라는 실측값을 근거로 실제 악용 가능성이 매우 낮음(hard)을 확인했습니다. 이에 따라 CVSS 5.5임에도 불구하고 우선순위를 'monitor'로 결정하였습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00193 · exploit=hard · in_scope=None