[방어] 분석 — CVE-2026-43011

• 심각도 critical · CVSS 9.8 · EPSS 0.00591 · 악용난이도 moderate

본 취약점은 Linux 커널의 net/x25 스택에서 발생하는 Memory-Corruption(Double Free)입니다.

1. 트리거: 원격 공격자가 특수하게 조작된 X.25 프레임을 전송합니다.
2. 경로: x25_queue_rx_frame 함수 내에서 alloc_skb가 실패할 경우, 이미 kfree_skb(skb)를 호출하여 메모리를 해제하고 에러 값(1)을 반환합니다.
3. 전파: 이 에러 값이 호출 체인을 타고 x25_backlog_rcv까지 전달됩니다.
4. 결과: x25_backlog_rcv는 반환된 queued=0 상태를 보고 동일한 skb 객체에 대해 다시 한번 kfree_skb(skb)를 호출하여 Double Free가 발생합니다.

악용 가능성: 본 취약점은 Linux Kernel의 X.25 프로토콜 스택에서 발생하는 Double Free 결함으로, 공격 난이도는 낮으나 실제 악용 가능성은 제한적인 Moderate 등급입니다. CVSS 벡터(AV:N/AC:L/PR:N/UI:N)에 따라 인증되지 않은 외부 공격자가 네트워크를 통해 특수하게 조작된 X.25 패킷을 전송함으로써 트리거할 수 있으며, 복잡한 사전 조건 없이도 메모리 오염을 유발할 수 있는 구조입니다. 구체적인 공격 표면은 x25_backlog_rcv 및 x25_queue_rx_frame 함수가 처리하는 X.25 프로토콜 엔드포인트이며, 특히 alloc_skb 메모리 할당 실패를 유도하여 에러 핸들러의 중복 해제 로직을 타게 만드는 것이 핵심 트리거 조건입니다. 다만, EPSS 수치가 0.00591로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 해당 프로토콜의 낮은 범용성으로 인해 실제 야생(In-the-wild)에서 공격자로 선택될 확률이 이론적 심각도보다 낮음을 시사합니다. 결과적으로 네트워크 노출 환경에서 X.25 스택을 활성화하여 사용하는 시스템이라면 즉각적인 위협이 되지만, 일반적인 현대 서버 환경에서는 공격 표면 자체가 닫혀 있을 가능성이 커 실질적인 악용 가능성은 낮다고 판단됩니다.

• 가용성 침해: 커널 패닉(Kernel Panic)으로 인한 시스템 즉시 다운 및 서비스 거부(DoS).
• 권한 상승/코드 실행: 추정: 메모리 레이아웃 조작(Heap Spraying 등)과 체이닝될 경우, 커널 권한의 임의 코드 실행(RCE) 가능성이 존재합니다. (CVSS 9.8 및 Critical 등급 근거)

• 유형: CWE-415: Double Free
• 체이닝: 커널 메모리 할당자(Slab/Slub)의 특성을 이용한 Use-After-Free(UAF) 기법과 연계하여 공격자가 제어하는 데이터를 커널 공간에 배치하려 시도할 수 있습니다.

X.25 프로토콜은 현대 네트워크에서 매우 드물게 사용되므로, 해당 트래픽의 유입 자체가 강력한 이상 징후입니다.

1. 로그 지표 및 패턴

• 로그 위치: /var/log/syslog, dmesg, /var/log/messages (Kernel Ring Buffer)
• 패턴: kernel: General protection fault, kernel: slab corruption, kernel: BUG: bad_attempt_to_free_slab 등의 커널 덤프 메시지 확인.

2. 탐지 규칙 예시 (SIEM 의사코드)

• Rule 1 (네트워크 레벨 - X.25 트래픽 감지)
  • Source: Network IDS/IPS / Firewall Logs
  • Condition: Destination_Port == [X.25 관련 포트] OR Protocol == X.25
  • Threshold: 1회 발생 시 즉시 경고 (정상 서비스 환경이 아닐 경우)
• Rule 2 (시스템 레벨 - 커널 패닉 패턴)
  • Source: System Log / Auditd
  • Pattern: /(Double free|slab corruption|kfree_skb).*x25/i
  • Condition: 로그 내 해당 정규식 매칭 시 Critical 알람

3. 오탐 튜닝 및 주의사항

• 오탐: 실제로 X.25 프로토콜을 사용하는 레거시 시스템의 경우 정상 트래픽이 탐지될 수 있습니다.
• 튜닝: 자산 인벤토리를 확인하여 X.25 사용 여부를 먼저 파악하고, 미사용 서버에서 발생하는 X.25 패킷은 모두 공격 시도로 간주합니다.

본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며, EPSS 0.00591(moderate) 수치는 이론적 심각도(CVSS 9.8)에 비해 실제 악용 확률은 현재 낮음을 뜻합니다. 그러나 영향 범위가 광범위하고 CVSS 점수가 매우 높으므로 규칙 기반 우선순위에 따라 이번 주 내 대응을 권고하는 scheduled 상태입니다.

1. 즉시 (긴급 차단)

• 조치: X.25 프로토콜 모듈 언로드 및 블랙리스트 등록
  • modprobe -r x25 실행 후 /etc/modprobe.d/blacklist.conf에 blacklist x25 추가.
• 난이도: 낮음 / 운영 영향: X.25 미사용 시 없음 / 검증: lsmod | grep x25 결과 없음 확인 / 우선순위: 최상

2. 단기 (완화)

• 조치: 네트워크 방화벽(ACL)에서 X.25 관련 트래픽 차단.
• 난이도: 낮음 / 운영 영향: 매우 낮음 / 검증: 외부망에서 X.25 패킷 전송 시 Drop 확인 / 우선순위: 상

3. 근본 (해결)

• 조치: 영향받는 Linux 커널 버전(2.6.12.1 ~ 6.19.12 등)을 수정 버전으로 업데이트 및 리부팅.
• 난이도: 중간 / 운영 영향: 시스템 리부팅 필요 (서비스 중단 발생) / 검증: uname -r을 통해 패치된 커널 버전 적용 확인 / 우선순위: 중

[인시던트 대응 플레이북]

1. X.25 모듈 로드 여부 확인: lsmod를 통해 현재 시스템에서 X.25 스택이 활성화되어 있는지 우선 확인합니다.
2. 커널 로그 분석: dmesg에서 x25_in.c 또는 kfree_skb 관련 에러 메시지가 있는지 전수 조사합니다.
3. 트래픽 분석: IDS/IPS에서 X.25 프로토콜을 사용하는 비정상 IP가 존재하는지 확인하고 해당 IP를 차단합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=9.8 · non-KEV · EPSS=0.00591 · exploit=moderate · in_scope=None