[분석가] 분석 — CVE-2025-71161

• 심각도 medium · CVSS 5.5 · EPSS 0.00165 · 악용난이도 hard

공격자는 특수하게 제작된 디스크 이미지를 시스템에 로드하여 dm-verity 모듈의 Recursive Forward Error Correction(FEC) 기능을 트리거합니다.

1. 경로: fec_read_bufs 함수 내 루프(최대 253회 반복)가 verity_hash_for_block을 재귀적으로 호출합니다.
2. 원리: 최대 4단계의 중첩 재귀가 허용되어 이론상 최대 $253^4$ (약 40억 번)의 반복 실행이 발생합니다.
3. 결과: CPU 자원을 과도하게 점유하여 udev-worker 프로세스가 'D' state(Uninterruptible sleep)에 빠지게 함으로써 시스템 가용성을 저하시킵니다.

악용 가능성: 본 취약점은 Linux kernel의 dm-verity 모듈 내 FEC(Forward Error Correction) 재귀 호출 구조로 인해 발생하는 DoS 위험을 내포하고 있습니다. 공격 난이도는 Hard 수준으로, CVSS 벡터 AV:L/PR:L에 따라 공격자가 이미 시스템에 낮은 권한의 계정으로 접근하여 로컬 환경에서 특수하게 조작된 디스크 이미지를 마운트하거나 읽게 해야 하는 전제조건이 필요합니다. 공격 표면은 dm-verity가 적용된 블록 장치의 데이터 읽기 과정이며, 특히 재귀적 오류 정정 루프를 트리거하는 특정 이미지 구조가 핵심 파라미터가 됩니다. EPSS 수치가 0.00165로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서 자동화된 공격 도구가 배포되거나 광범위하게 악용되고 있지 않음을 시사합니다. 다만, 이론적 심각도와 별개로 조작된 이미지를 통해 udev-worker 프로세스를 'D' 상태(Uninterruptible sleep)로 만들어 시스템 가용성을 완전히 상실시킬 수 있다는 점이 실제적인 위협 요소입니다. 결과적으로 본 취약점은 외부망을 통한 직접 침투보다는, 신뢰할 수 없는 매체나 이미지를 통해 로컬 권한을 가진 사용자가 시스템 전체의 서비스 거부를 유도하는 시나리오로 악용될 가능성이 높습니다.

• 영향 제품 및 규모: Linux kernel 4.5 버전부터 6.18.6 버전까지 광범위하게 영향을 받습니다. 다중 소스 데이터 교차검증을 통해 해당 버전 범위의 일관성이 확인되었습니다(신뢰도 1.0).
• 기술적 위험 (Availability): 본 취약점은 서비스 거부(DoS)에 집중되어 있습니다. 공격 성공 시 특정 프로세스가 응답 불능 상태가 되어 시스템 전반의 입출력 및 장치 관리에 지연이나 중단이 발생할 수 있습니다.
• 비즈니스 리스크: 로컬 권한(PR:L)과 낮은 공격 복잡도(AC:L)를 가지나, 데이터 유출이나 권한 상승으로 이어지는 경로는 확인되지 않았습니다. 따라서 비즈니스 관점에서는 시스템 가용성 저하로 인한 서비스 일시 중단 및 운영 효율 감소가 주된 리스크입니다.

• 유형: 재귀 호출 제한 미비로 인한 자원 고갈(Resource Exhaustion) 패턴입니다.
• 체이닝 가능성: 단독으로는 DoS에 그치나, 추정: 시스템 가용성이 저하된 상태에서 다른 로컬 권한 상승 취약점과 결합하여 공격자의 탐지 회피 시간을 벌어주는 보조 수단으로 활용될 가능성이 있습니다.

• 프로세스 상태: ps 또는 top 명령어를 통해 udev-worker 등 커널 관련 프로세스가 장시간 'D' state(Uninterruptible sleep)로 머무는 현상을 모니터링합니다.
• 커널 로그: FEC 관련 오류나 재귀 호출로 인한 스택 오버플로우 징후가 dmesg에 기록되는지 확인합니다.

• 근본 해결: Recursive Forward Error Correction 기능이 비활성화된 최신 커널 패치를 적용하여 업데이트합니다.
• 우선순위 판단: 본 취약점은 CVSS 5.5(Medium)이며, 실측 EPSS 값이 0.00165로 매우 낮고 KEV에 등재되지 않았습니다. 또한 공격 난이도가 'hard'로 분류되어 실제 야생 악용 가능성이 낮으므로, 즉각적인 긴급 패치보다는 정기 업데이트 주기 내 반영하는 monitor(모니터링) 수준의 대응 리소스 배분을 권고합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00165 · exploit=hard · in_scope=None