[단독분석] 분석 — CVE-2026-23154

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

이 취약점은 로컬 권한을 가진 프로세스가 IPv4↔IPv6 변환(bpf_skb_proto_4_to_6, bpf_skb_proto_6_to_4) 중인 GSO 패킷에 대해 SKB_GSO_DODGY 플래그를 올바르게 설정하지 않아 발생합니다. 공격자는 조작된 GRO + frag_list 패킷을 전송하면 커널이 skb_segment_list 를 사용하려 시도하고, 변환되지 않은 frag_list 가 남아 프로토콜 불일치가 일어나며 네트워크 스택이 과다 CPU 사용·패킷 손실로 이어져 서비스 가용성이 크게 저하됩니다.

악용 가능성: 이 취약점은 AV:L(로컬) · AC:L(낮은 복잡도) · PR:L(저특권) · UI:N(사용자 상호작용 없음) 이라는 CVSS 벡터를 갖고 있어, 공격자는 로컬 시스템에 접근할 수만 있으면 별도의 특별한 조건 없이 악용이 가능하다는 점을 의미합니다. 그러나 실제로는 skb_segment_list 함수와 SKB_GSO_DODGY 플래그를 조작할 수 있는 권한이 필요하며, 이는 일반 사용자 계정보다는 루트 또는 네트워크 스택을 직접 제어할 수 있는 수준의 저특권(예: 컨테이너 탈출 후)에서만 실현될 가능성이 높아 난이도가 hard 으로 평가됩니다. EPSS 값이 0.00115 로 매우 낮게 측정된 것은 현재까지 실제 악용 사례가 거의 보고되지 않았음을 반영하지만, 완전히 배제할 수 없는 위험을 의미합니다. KEV(공격자에 의해 널리 이용되는 취약점) 리스트에 등재되지 않은 점도 현 시점에서는 야생 공격이 관측되지 않았다는 근거가 됩니다. 공격 표면은 IPv4 서버에 접속하는 핫스팟 환경에서 IPv6‑only 업스트림 인터페이스를 거치는 경우, GSO/GRO 처리 과정의 frag_list 패킷이 노출되는 커널 경로이며, 해당 경로는 일반적인 사용자 트래픽에서는 드물게 사용됩니다. 따라서 로컬 권한을 확보하고 네트워크 스택을 직접 조작할 수 있는 상황에서만 실질적인 악용이 가능하다는 점을 고려하면, 방어자는 이

• 기술적 위험: CVSS 벡터(AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H)에서 알 수 있듯, 성공적인 악용 시 시스템 가용성에 중대한 영향을 미칩니다(Availability = High). 데이터 유출·무단 권한 상승은 발생하지 않으며, 주된 피해는 서비스 중단 및 네트워크 성능 저하입니다.
• 비즈니스 영향:
  • 가용성 손실 → 고객 서비스 지연·매출 감소 가능성.
  • 규제/컴플라이언스 측면에서는 직접적인 위반 요소가 없지만, 지속적인 서비스 장애는 SLA 위반 위험을 초래할 수 있습니다.
• 영향 제품 및 노출 규모: 다중 소스 교차검증([교차검증]) 결과, Linux kernel 5.6‑6.12.69, 6.13‑6.18.9 등 광범위한 버전(8개 이상)에서 동일한 취약점이 확인되었습니다. 따라서 해당 커널을 운영하는 모든 서버·임베디드·네트워크 장비가 잠재적 노출 대상이며, 특히 IPv6‑only upstream 인터페이스를 거치는 핫스팟 환경에서 트래픽 감소가 관찰될 수 있습니다.

• 현재 확인된 직접적인 연관 CVE는 없으며, 유사하게 GSO/ GRO 처리와 SKB 플래그 관리 오류가 존재하는 과거 커널 버그(CVE‑2018‑14634 등)와 패턴 수준에서 연계될 가능성이 있습니다.

• 커널 로그에 “GRO segmentation error”, “skb_segment_list failed” 와 유사한 메시지가 반복적으로 기록되는지 모니터링합니다.
• eBPF 트레이스포인트 net:gro_receive_skb 및 net:gso_segment 에서 SKB_GSO_DODGY 플래그가 비정상적으로 설정·해제되는 이벤트를 수집합니다.
• 네트워크 인터페이스별 전송량·CPU 사용률 급격한 감소/증가 패턴을 실시간 통계로 감시합니다.

1. 패치 적용: upstream에서 제공하는 커밋(“net: fix segmentation of forwarding fraglist GRO”)이 포함된 최신 커널 버전으로 업데이트합니다.
2. 임시 조치: 영향을 받는 인터페이스에 대해 GSO/GRO 오프로드를 비활성화(ethtool -K <iface> gso off gro off)하거나, net.core.skb_max_headroom 등 관련 sysctl 값을 조정하여 frag_list 사용을 제한합니다.
3. 보안 모니터링 강화: 위 탐지 항목을 SIEM·EDR에 연동하고, 이상 징후 발생 시 즉시 네트워크 오프로드를 차단하도록 자동화합니다.

본 보고서는 다중 소스 교차검증([교차검증])과 실측 EPSS 값(EPSS = 0.00115)·우선순위 규칙 기반 판단([실측 악용예측], [우선순위 결정])을 근거로 작성되었습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None