[방어] 분석 — CVE-2024-26783

• 심각도 medium · CVSS 5.5 · EPSS 0.00242 · 악용난이도 hard

• 로컬 프로세스가 NUMA balancing이 활성화된 상태에서 메모리가 전혀 없는 NUMA 노드에 스케줄링될 경우, mm/vmscan.c의 wakeup_kswapd()가 zone index ‑1 로 호출됩니다.
• 이 잘못된 인덱스로 인해 페이지 폴트가 발생하고 커널 oops(“BUG: unable to handle page fault … wakeup_kswapd”)가 트리거되어 시스템이 패닉 후 재부팅됩니다.
• 공격자는 이미 루트 또는 CAP_SYS_ADMIN 권한을 가진 로컬 계정에서 특수 메모리 할당 워크로드를 실행해 위 상황을 의도적으로 유발할 수 있습니다.

악용 가능성: 이 취약점은 AV = Local, AC = Low, PR = Low, UI = None 로 평가되므로, 공격자는 피해 시스템에 직접 접근할 수 있는 계정(루트 또는 관리자)만 있으면 추가적인 물리적 혹은 원격 인증 절차 없이도 악용이 가능합니다. 실제로는 NUMA‑balancing 이 활성화된 Linux 커널에서 메모리 관리 영역(zone)이 존재하지 않는 NUMA 노드가 있을 때, wakeup_kswapd() 가 잘못된 인덱스 –1 로 호출되어 커널 페이지 폴트(oops)를 일으키는 것이 트리거 조건입니다. 따라서 공격 표면은 커널 내부 함수 호출과 NUMA‑balancing 설정에 국한되며, 외부 네트워크 서비스나 사용자 입력 파라미터와 직접적인 연관이 없습니다. EPSS 점수 0.00242(≈0.24 %)는 현재 이 취약점이 실제 공격에 활용될 확률이 매우 낮지만, KEV 리스트에 등재되지 않은 점은 아직까지 대규모 악용 사례가 보고되지 않았음을 의미합니다. 그러나 로컬 권한을 이미 확보한 공격자는 해당 버그를 의도적으로 유발시켜 시스템 크래시를 일으키고 서비스 거부(DoS) 상태로 전환할 수 있으므로, 권한 상승 후 로컬 코드 실행이 가능한 환경에서는 난이도가 ‘hard’이라고 평가된 것이 타당합니다. 결국 이 취약점의 악용 가능성은 “루트 권한을 가진 내부 사용자 또는 이미 침투된 시스템”에 한정되며, 공격 표면은 NUMA‑balancing 활성화 여부와 커널 메모리 관리 로직으로 좁혀집니다.

• 커널 패닉 → 시스템 전체가 강제 재부팅되어 가용성 상실.
• 비정상적인 재부팅 시 파일시스템 일관성 손상·메모리‑디스크 캐시 소실 위험, 특히 데이터베이스·스토리지와 같은 상태 저장 서비스에 영향.
• 권한 상승 자체는 제공되지 않지만, 로컬 권한을 가진 공격자는 서비스를 중단(DoS)할 수 있습니다.

• NUMA 메모리 관리와 연관된 기존 커널 버그(CVE‑2017‑5753 등)와 조합될 경우, 메모리 할당 오류를 이용한 추가적인 권한 상승이나 DoS 시나리오가 가능할 수 있습니다.
• 현재 CVE‑2024‑26783 자체는 직접적인 권한 상승을 제공하지 않으며, 주된 위험은 가용성 손실입니다.

• 로그 지표

  • dmesg, /var/log/kern.log, journalctl -k에 기록되는 메시지 중
    text복사

     1BUG: unable to handle page fault ... wakeup_kswapd

    와 동시에 zone_index=-1(존재 시) 문자열이 포함된 항목.

• SIEM 규칙 예시

  1. Splunk

     text복사

      1index=linux sourcetype=linux:kmsg ("BUG:" AND "wakeup_kswapd")
      2| where like(_raw, "%zone_index=-1%") OR NOT like(_raw, "%test%")
      3| stats count by host _time
      4| where count > 0

     오탐 튜닝: 테스트 빌드에서 발생하는 정상 Oops는 _raw에 “test” 문자열이 포함되는 경우 제외.

  2. Elastic Search DSL

     text복사

      1{
      2  "query": {
      3    "bool": {
      4      "must": [
      5        {"match_phrase": {"message": "BUG:"}},
      6        {"match_phrase": {"message": "wakeup_kswapd"}}
      7      ],
      8      "should": [
      9        {"wildcard": {"message": "*zone_index=-1*"}}
     10      ],
     11      "must_not": [
     12        {"wildcard": {"message": "*debug*"}},
     13        {"wildcard": {"message": "*test*"}}
     14      ]
     15    }
     16  }
     17}

     오탐 튜닝: 디버그 커널 로그와 테스트 스위트 이름을 must_not에 지정.

  3. OSSEC (정규식)

     text복사

      1<rule id="100300" level="12">
      2  <if_sid>5710</if_sid>
      3  <match>BUG:.*wakeup_kswapd.*zone_index=-?1</match>
      4  <description>Potential CVE-2024-26783 trigger</description>
      5  <options>no_full_log</options>
      6</rule>

     오탐 튜닝: level을 12로 설정해 고위험 알림만 발생시키고, 정상 디버그 Oops는 ignore 옵션으로 배제.

• 검증 방법: 테스트 환경에서 메모리가 없는 NUMA 노드를 인위적으로 생성하고 해당 워크로드를 실행한 뒤, 위 규칙이 SIEM에 이벤트를 생성하는지 확인합니다.

• 노드 메모리 상태 감시

  • /sys/devices/system/node/node*/meminfo 를 주기적으로 파싱해 “Managed zones: 0” 인 노드를 탐지하고, 해당 노드에 대한 프로세스 스케줄링을 cgroup 혹은 systemd.slice 로 차단합니다.
    난이도: 중간 (스크립트·cgroup 설정).
    운영 영향: 특정 NUMA 노드에 워크로드가 배치되지 않아 전체 성능 저하 가능.

• vm.zone_reclaim_mode 비활성화 (필요 시)

  text복사

   1sysctl -w vm.zone_reclaim_mode=0
   2echo "vm.zone_reclaim_mode = 0" >> /etc/sysctl.conf

  난이도: 낮음.
  운영 영향: 지역 메모리 회수 기능이 꺼져 NUMA‑친화적인 애플리케이션에서 약간의 성능 감소가 있을 수 있습니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00242 · exploit=hard · in_scope=None