[방어] 분석 — CVE-2024-58058

• 심각도 medium · CVSS 5.5 · EPSS 0.00192 · 악용난이도 hard

1. 트리거 조건: UBIFS 파일시스템 환경에서 Slab Cache를 강제로 비우는 동작을 수행하여 c->zroot.znode가 NULL이 된 상태에서 TNC(Tree Node Core) tree 덤프 기능을 호출할 때 발생합니다.
2. 공격 단계:
   • 초기 접근: 로컬 시스템에 대한 낮은 권한의 사용자 계정 확보 (PR:L).
   • 실행/영향: Slab Cache 클리어링 동작 유도 $\rightarrow$ zroot 객체 해제 $\rightarrow$ TNC tree 덤프 시도 $\rightarrow$ Null Pointer Dereference 발생 $\rightarrow$ 커널 패닉(Kernel Panic) 및 시스템 중단.
3. 공격 표면: UBIFS 파일시스템이 마운트된 Linux 커널 환경의 로컬 인터페이스.
4. CVSS 벡터 연결:
   • AV:L (Local): 물리적/원격 접근이 아닌 로컬 쉘 권한 필요.
   • AC:L (Low): 특정 조건(Slab clear) 충족 시 복잡한 우회 기술 없이 트리거 가능.
   • PR:L (Low): 일반 사용자 권한으로 실행 가능.
   • UI:N (None): 사용자 상호작용 불필요.

악용 가능성: 본 취약점의 공격 난이도는 Hard로 평가되며, 실제 악용 가능성은 매우 낮습니다. CVSS 벡터 AV:L/PR:L에 따라 공격자는 대상 시스템에 이미 일반 사용자 권한으로 접근해 있어야 하며, 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 Linux 커널의 ubifs 파일 시스템 내 tnc tree 덤프 기능이며, 특히 slab cache를 강제로 비워 zroot가 NULL이 되는 특정 메모리 상태를 정밀하게 유도해야 하는 Null Pointer Dereference 취약점입니다. EPSS 수치가 0.00192로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 커널 패닉 가능성과 별개로 실제 야생(In-the-wild)에서 공격 코드가 발견되거나 악용된 사례가 거의 없음을 시사합니다. 결과적으로 권한을 가진 내부 사용자가 시스템 가용성을 저해하려는 특수한 목적이 없는 한, 외부에서 이 취약점을 통해 침투하거나 권한을 상승시킬 가능성은 극히 희박합니다.

1. 기술적 위험: Null Pointer Dereference로 인한 커널 패닉이 발생하며, 이는 시스템의 즉각적인 가용성 상실(Denial of Service)로 이어집니다. (A:H)
2. 비즈니스 영향: UBIFS를 사용하는 임베디드 장비나 특정 Linux 서버의 경우 서비스 중단으로 인한 운영 가동률 저하 및 하드웨어 리부팅 필요에 따른 가용성 침해.

• 추정: 본 취약점은 단독으로는 권한 상승이나 데이터 유출을 일으키지 않는 DoS 유형입니다. 다만, 시스템의 자동 재시작 메커니즘과 결합될 경우, 특정 서비스가 복구되는 과정에서 발생하는 Race Condition 등을 이용해 다른 권한 상승 취약점으로 이어지는 체이닝 가능성이 추정됩니다.

1. 로그 지표: 커널 로그(dmesg, /var/log/syslog, /var/log/kern.log) 내 NULL pointer dereference 메시지와 함께 UBIFS 관련 함수 호출 스택(Call Stack) 확인.
2. 탐지 규칙:
   • SIEM 쿼리 (의사코드):
     SELECT timestamp, hostname FROM kernel_logs WHERE message LIKE '%NULL pointer dereference%' AND message LIKE '%ubifs%' AND message LIKE '%tnc_tree%'
   • 패턴 예시: RIP: [address] ubifs_dump_tnc_tree+... 형태의 커널 스택 트레이스 탐지.
3. 오탐 튜닝: 시스템 관리자가 의도적으로 수행하는 커널 디버깅이나 메모리 덤프 작업 시 발생할 수 있습니다. 따라서 Slab cache clear 명령과 UBIFS dump 동작이 짧은 시간 내에 연속적으로 발생하는 패턴을 그룹화하여 탐지함으로써 일반적인 커널 오류와 구분합니다.

• 즉시(긴급 차단):
  • 조치: 일반 사용자의 /proc/sys/vm/drop_caches 쓰기 권한 제한 및 Slab Cache 강제 비우기 관련 시스템 콜 접근 제어 (예: capability 확인).
  • 난이도/영향/검증: 낮음 / 매우 낮음 / echo 3 > /proc/sys/vm/drop_caches 실행 시 Permission Denied 확인. 우선순위 최상.
• 단기(완화):
  • 조치: UBIFS 파일시스템을 사용하지 않는 환경이라면 해당 모듈 로드 방지(modprobe -r ubifs).
  • 난이도/영향/검증: 낮음 / 중간(UBIFS 사용 시 불가) / lsmod | grep ubifs 결과 확인.
• 근본(해결):
  • 조치: 영향받는 커널 버전(2.6.27 ~ 6.13.2 등)에서 UBIFS의 zroot NULL 체크 로직이 추가된 최신 패치 버전으로 업데이트.
  • 난이도/영향/검증: 높음 / 중간(리부팅 필요) / uname -a를 통해 패치된 커널 버전 확인.

[분석 근거] 본 리포트는 다중 소스 데이터의 일관성이 확인되어 신뢰도가 1.0이며, 실측 EPSS 값(0.00192, 백분위 0.09192)이 매우 낮고 KEV에 등재되지 않았으며 공격 난이도가 hard로 평가됨에 따라 우선순위를 monitor로 결정하였습니다. 이는 이론적 심각도(CVSS 5.5)보다 실제 악용 가능성이 현저히 낮음을 의미합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00192 · exploit=hard · in_scope=None