[단독분석] 분석 — CVE-2025-71120

• 심각도 medium · CVSS 5.5 · EPSS 0.0016 · 악용난이도 hard

• 촉발 지점: SUNRPC 모듈의 gss_read_proxy_verf 함수 내에서 발생합니다.
• 원리: 길이가 0인 gss_token이 전달될 경우, pages 값이 0이 되어 in_token->pages[0]이 NULL 상태가 됩니다. 이때 코드가 복사 길이(length)가 0인지 확인하지 않고 page_address()를 통해 해당 메모리 주소에 접근(memcpy)을 시도하여 NULL pointer dereference가 발생합니다.
• 경로: 로컬 권한을 가진 사용자가 조작된 GSS 토큰을 전달함으로써 커널 패닉(Kernel Panic)을 유발하는 경로입니다.

악용 가능성: 본 취약점은 Linux kernel의 SUNRPC 모듈 내 svcauth_gss 함수에서 길이가 0인 gss_token 처리 시 발생하는 NULL pointer dereference 취약점입니다. 공격 벡터가 AV:L로 제한되어 있어, 공격자는 시스템에 이미 낮은 권한(PR:L)으로 접근하여 로컬 셸을 확보한 상태여야만 트리거가 가능합니다. 공격 표면은 GSS-API를 사용하는 RPC 서비스의 인증 토큰 처리 프로세스이며, 구체적으로는 gss_read_proxy_verf 함수로 전달되는 제로 길이의 토큰 파라미터가 트리거 조건이 됩니다. 복잡도(AC:L)와 사용자 상호작용(UI:N)이 낮아 조건 충족 시 실행은 용이하나, 로컬 권한 획득이라는 전제조건으로 인해 전체적인 공격 난이도는 hard로 판정됩니다. EPSS 수치가 0.0016으로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생에서 실제 악용 사례가 미관측되었음을 시사하며, 이론적 심각도 대비 실질적인 즉각적 위협 수준은 낮은 것으로 분석됩니다.

• 기술적 위험: 본 취약점은 AV:L(Local) 및 A:H(Availability High) 특성을 가집니다. 악용 성공 시 시스템이 즉각적으로 중단되는 서비스 거부(DoS) 상태에 빠지며, 이는 커널 레벨의 크래시로 이어집니다. 데이터 유출이나 권한 상승으로 이어질 가능성은 낮으나, 시스템 가용성에 치명적입니다.
• 비즈니스 리스크:
  • 가용성 저하: 서버 운영 환경에서 예기치 못한 재부팅 및 서비스 중단이 발생하여 비즈니스 연속성이 훼손될 수 있습니다.
  • 광범위한 노출 규모: 영향 제품 범위가 linux_kernel 4.19.99부터 6.18.3까지 매우 광범위하게 분포되어 있어, 다수의 레거시 및 최신 배포판이 잠재적 위험에 노출되어 있습니다.
• 분석 근거: 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 영향 제품군이 8개 그룹으로 매우 다양하여 공급망 관점의 리스크가 높습니다.

• 패턴: 전형적인 NULL pointer dereference 패턴이며, 입력값의 길이 검증 미비로 인해 발생합니다.
• 체이닝: 단독으로는 DoS 공격에 그치지만, 추정: 다른 커널 권한 상승(LPE) 취약점과 결합하여 시스템 불안정성을 유도하거나 특정 보안 메커니즘을 무력화하는 용도로 활용될 가능성이 있습니다.

• 로그 분석: dmesg 또는 /var/log/syslog에서 SUNRPC: svcauth_gss 관련 NULL pointer dereference로 인한 커널 패닉 및 Stack Trace 확인.
• 패턴 예시: GSS-API 기반의 RPC 요청 중 비정상적으로 길이가 0인 토큰이 유입되는 네트워크 트래픽 또는 시스템 콜 패턴 모니터링.

• 근본 해결: 영향 범위에 해당하는 Linux 커널 버전을 최신 보안 패치 버전으로 업데이트하여 memcpy 실행 전 length > 0 조건 검증 로직을 적용하십시오.
• 즉시 조치 및 우선순위: 본 건은 EPSS 0.0016(백분위 0.05611)으로 실측 악용 가능성이 매우 낮고, KEV에 등재되지 않았으며, 공격 난이도가 hard로 분류됩니다. 따라서 규칙 기반 우선순위에 따라 '즉시 패치'보다는 'monitor(모니터링)' 단계의 대응 리소스 배분을 권장합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.0016 · exploit=hard · in_scope=None