[단독분석] 분석 — CVE-2026-23154

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

본 취약점은 IPv4/IPv6 프로토콜 변환(XLAT) 과정에서 frag_list를 포함한 GRO 패킷의 GSO 세그멘테이션 처리 오류로 인해 발생합니다.

• 경로: XLAT가 헤더만 변환하고 frag_list 내의 데이터는 그대로 두어 프로토콜 불일치가 발생합니다.
• 원리: skb_segment_list 함수가 변환되지 않은 frag_list를 잘못 처리하여 패킷 전송 효율이 급감하는 현상이 촉발됩니다.
• 단계: 공격자가 특수하게 구성된 IPv4/IPv6 혼합 트래픽을 유도하여 대상 시스템의 네트워크 스택에서 비정상적인 세그멘테이션을 유발함으로써 가용성(처리량)에 영향을 줍니다.

악용 가능성: 본 취약점은 Linux kernel의 네트워크 스택 내 GRO(Generic Receive Offload) 패킷 세그멘테이션 처리 과정에서 발생하며, 공격 난이도는 hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 시스템에 대한 로컬 접근 권한을 이미 보유해야 하며 이는 외부망에서의 직접적인 침투보다는 내부 권한 상승이나 서비스 거부 유도 단계에서 활용될 가능성이 높음을 의미합니다. 공격 표면은 IPv6-only 업스트림 인터페이스를 가진 핫스팟 환경에서 IPv4 서버로 접속할 때 발생하는 XLAT 변환 과정의 frag_list 처리 로직 및 관련 네트워크 엔드포인트에 국한됩니다. EPSS 수치가 0.00115로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은 현재 야생(In-the-wild)에서 해당 취약점을 이용한 공격 사례가 미관측되었음을 시사합니다. 따라서 이론적인 심각도와 별개로, 특정 네트워크 구성(XLAT 및 GRO 활성화)이라는 까다로운 트리거 조건과 로컬 권한 필요성으로 인해 실제 악용 가능성은 매우 제한적입니다. 결과적으로 본 취약점은 광범위한 공격보다는 특수한 환경에서의 프로토콜 불일치와 처리 효율 저하를 유발하는 형태의 리스크를 가집니다.

• 기술적 위험: 본 취약점은 데이터 유출이나 권한 상승보다는 **가용성 저하(Availability)**에 집중됩니다. 특히 IPv6-only 상위 인터페이스를 가진 핫스팟을 통해 IPv4 서버에 접속하는 환경에서 네트워크 처리량(Throughput)이 심각하게 감소하는 현상이 발생합니다.
• 비즈니스 영향: 광범위한 Linux 커널 버전(5.6 - 6.18.9 및 일부 최신 버전)이 영향을 받으므로, 네트워크 게이트웨이나 라우팅 역할을 수행하는 인프라의 경우 서비스 품질 저하로 인한 사용자 경험 악화 및 네트워크 성능 관련 SLA 미준수 리스크가 있습니다.
• 노출 규모: 영향 제품군이 다수(8개 이상 범위)에 걸쳐 있어 공급망 관점에서의 잠재적 노출 범위는 매우 넓습니다.

• 유형: 네트워크 스택의 세그멘테이션 처리 오류 및 프로토콜 변환 불일치 패턴입니다.
• 체이닝 가능성: 단독으로 시스템 장악은 불가하나, 추정: 네트워크 지연을 유발하여 타임아웃 기반의 서비스 거부(DoS) 상태를 심화시키는 보조 수단으로 활용될 가능성이 있습니다.

• 분석 지표: IPv4/IPv6 XLAT 환경에서 특정 목적지로의 트래픽 처리량이 비정상적으로 급감하는 현상을 모니터링합니다.
• 패턴 예시: 커널 로그 내 네트워크 세그멘테이션 관련 오류나 SKB_GSO_DODGY 플래그 설정 이후의 패킷 처리 경로 변경 여부를 확인합니다.

• 근본 해결: 영향받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 bpf_skb_proto_4_to_6 및 bpf_skb_proto_6_to_4 헬퍼 함수에서 SKB_GSO_DODGY 플래그가 올바르게 설정되도록 조치하십시오.
• 우선순위 판단 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, 실측 EPSS 값이 0.00115(백분위 0.01782)로 매우 낮아 실제 야생 악용 가능성이 희박합니다. 또한 CVSS 5.5 및 AV:L(Local) 벡터, KEV 미등재 상태를 근거로 규칙 기반 우선순위를 monitor(모니터링) 단계로 결정하였습니다. 즉시 대응보다는 정기 패치 주기 내 업데이트를 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None