[단독방어] 분석 — CVE-2026-43025

• 심각도 high · CVSS 7.3 · EPSS 0.00126 · 악용난이도 hard

netfilter 모듈이 사용자 공간에서 전달된 CTA_EXPECT_CLASS에 명시된 헬퍼 이름을 검증하지 않고 그대로 사용하면서, 기존 마스터 conntrack 헬퍼와 불일치하는 경우 nf_ct_expect_related_report() 함수가 슬랩 영역을 벗어나 읽기 연산을 수행한다. 공격자는 특수히 조작한 netlink 메시지(예: ctnetlink_new_expect 요청)에 잘못된 헬퍼 이름을 포함시켜 커널 메모리 바이트를 탈취할 수 있다. 로컬 권한이 필요하고, 성공 시 커널 메모리 내용이 노출되며 추가적인 권한 상승으로 이어질 가능성이 있다.

악용 가능성: AV:L(로컬)·AC:L(낮은 복잡도)·PR:L(저권한)·UI:N(사용자 상호작용 없음)의 CVSS 벡터는, 공격자가 로컬 시스템에서 루트가 아닌 일반 사용자 권한만으로 별도의 전환 없이 바로 Netlink (ctnetlink) 인터페이스에 접근해 악의적인 CTA_EXPECT_CLASS 메시지를 전송하면 된다는 현실적 전제조건을 의미합니다.

AC:L이 낮아도, 성공하려면 커널의 conntrack 기대(expectation) 구조체에 명시된 helper 필드를 조작해야 하며, 이는 Netlink socket을 통해 CTNL_NEWEXPECT 요청을 보내는 특정 파라미터(예: CTA_EXPECT_CLASS)를 정확히 구성해야 하는 기술적 트리거가 필요합니다.

EPSS 0.00126은 현재 실제 악용 사례가 극히 드물지만, 완전히 무시할 수 없는 위험성을 나타내며, KEV에 등재되지 않은 점은 아직 광범위하게 공개된 공격이 없음을 의미하지만, 취약점 자체가 커널 메모리 슬랩‑오버플로우를 야기하므로 이론적 심각도와는 별개로 잠재 위협으로 간주됩니다.

공격 표면은 Linux kernel의 Netfilter conntrack 서브시스템이 노출하는 Netlink 프로토콜(네임스페이스 nfnetlink·패밀리 `NFNL_SUBSYS

• 정보 유출: 슬랩‑out‑of‑bounds 읽기로 인해 인접 구조체 및 포인터 값 등 커널 내부 데이터가 사용자 공간에 노출된다.
• 잠재적 특권 상승: 누출된 메모리에는 권한 검증에 사용되는 구조체(예: cred)나 함수 포인터가 포함될 수 있어, 후속 코드 실행을 통해 루트 권한 획득이 가능하다.
• 서비스 불안정: KASAN이 활성화된 경우 커널 패닉 로그가 발생하여 시스템 가용성이 일시적으로 저하될 수 있다.

추정: 동일한 메모리‑코루전(CWE‑119, CWE‑124) 유형의 네트워크 스택 버그와 결합하면 원격 코드 실행(RCE)이나 권한 상승 체인이 구성될 수 있다. 예를 들어, netfilter 필터링 로직에서 경계 검증이 누락된 경우(또다른 CWE‑119)와 연계되어 공격 표면이 확대된다.

• 커널 로그: dmesg·syslog에 “nf_ct_expect_related_report” 및 “slab-out-of-bounds” 문자열이 포함된 메시지가 기록됨.
  • 정규식 예시: nf_ct_expect_related_report.*slab-out-of-bounds
• auditd 규칙: netlink 메시지 전송을 감시하여 CTA_EXPECT_CLASS 속성이 포함된 경우 경보 생성.
  text복사

   1-w /proc/net/nf_conntrack -p a -k conntrack_expect
   2-a always,exit -F arch=b64 -S sendmsg -F a0=16 -F a1!=0x0 -k netfilter_ctnl

• SIEM 쿼리 (예: Splunk)
  text복사

   1index=linux_logs sourcetype=syslog "nf_ct_expect_related_report" 
   2| regex _raw="slab-out-of-bounds"
   3| stats count by host, _time
   4| where count > 0

• 오탐 튜닝: 정상적인 커널 디버깅이나 KASAN 테스트 시에도 동일 로그가 발생할 수 있다. 운영 환경에서는 kernel.kptr_restrict=2 등으로 실제 메모리 주소 노출을 차단하고, 위 쿼리에 “msg_type=CTNETLINK_NEW_EXPECT” 필터를 추가해 정상 관리 작업을 제외한다.

• 즉시(긴급 차단)

  • sysctl -w net.netfilter.nf_conntrack_expect_max=0 로 conntrack 기대값 생성 자체를 비활성화.
    • 구현 난이도: ★☆☆ (한 줄 명령)
    • 운영 영향: 일부 NAT·로드밸런싱 서비스가 기대값에 의존하는 경우 연결 차단 가능 → 사전 테스트 필요.
    • 검증 방법: sysctl net.netfilter.nf_conntrack_expect_max 값 확인 및 새로운 netlink expectation 시도시 거부 로그 확인.

• 단기(완화)

  1. SELinux/AppArmor 정책을 강화해 비루트 프로세스가 NETLINK_NETFILTER 소켓에 접근하지 못하도록 제한한다.
     • 난이도: ★★☆ (정책 수정 및 재로드)
     • 영향: 기존 보안 툴·모니터링 에이전트가 차단될 수 있음 → 정책 예외 필요 시 적용.
  2. 커널에 KASAN/UBSAN을 활성화하여 메모리 오염 시 즉시 로그를 남기고 시스템 재부팅 전 조사 가능하게 한다.
     • 난이도: ★★☆ (재부팅 및 부트 옵션 수정)
     • 영향: 성능 약간 감소(≈5‑10%).
  3. auditd 위 규칙을 적용하고, SIEM에서 경보 룰을 활성화한다.
     • 난이도: ★☆☆ (규칙 추가 후 서비스 재시작).

• 근본(해결)

  • 공식 패치를 포함한 최신 커널 버전으로 업그레이드

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.3 · non-KEV · EPSS=0.00126 · exploit=hard · in_scope=None