[단독분석] 분석 — CVE-2025-21760

• 심각도 high · CVSS 8.1 · EPSS 0.33417 · 악용난이도 moderate

공격자는 IPv6 Neighbor Discovery(ICMPv6 ND) 패킷을 조작하여 ndisc_send_skb() 함수가 RCU 보호 없이 호출되도록 유도합니다. 이 함수가 rcu_read_lock() 을 선점하지 않아 dev_net_rcu() 사용 시 Use‑After‑Free가 발생할 수 있으며, 이를 통해 커널 메모리의 임의 위치에 코드를 삽입·실행하게 됩니다. 네트워크 접근만 있으면 사전 권한 없이 원격으로 공격이 가능하고, 사용자 개입(UI)은 필요하지 않습니다.

악용 가능성: 이 취약점은 네트워크를 통해 원격에서 접근 가능하지만(AV:N) 공격 성공을 위해서는 특정 시점에 IPv6 Neighbor Discovery 패킷을 정밀하게 조작해 rcu_read_lock()이 확보되지 않은 상태로 ndisc_send_skb()가 호출되도록 해야 하므로 복잡도가 높습니다(AC:H). 공격자는 커널 권한이 전혀 필요하지 않으며(PR:N) 패킷 전송 이후 추가적인 사용자 행동도 요구되지 않습니다(UI:N). 실제 위협 수준을 판단하면 EPSS 0.33417이라는 수치는 향후 12개월 내에 약 33 % 정도의 확률로 악용될 가능성이 있음을 시사하지만, 현재 KEV 리스트에 등재되지 않아(KEV 미등재) 공격이 광범위하게 관측된 사례는 없습니다. 트리거 조건은 IPv6‑enabled 인터페이스가 수신하는 ICMPv6 ND 메시지를 통해 ndisc_send_skb()를 호출하도록 유도하는 것이며, 이는 네트워크 스택 내부의 dev_net_rcu() 사용 시점과 연관된 레이스 컨디션을 이용합니다. 따라서 공격 표면은 IPv6가 활성화된 모든 시스템의 네

• 기술적 위험
  • Use‑After‑Free를 이용한 임의 커널 메모리 쓰기로 루트 권한을 획득하면 시스템 전체 장악·원격 코드 실행이 가능해집니다.
  • 메모리 손상으로 인한 커널 패닉이 발생할 경우 서비스 중단(DoS) 효과도 동반될 수 있습니다.
• 비즈니스 영향
  • 가용성: 커널 크래시·재부팅 필요로 인한 다운타임 및 복구 비용 증가.
  • 기밀성/무결성: 공격자가 파일 시스템, 메모리, 네트워크 등 모든 자원에 무제한 접근이 가능해 데이터 유출·조작 위험이 존재합니다.
  • 규제·컴플라이언스: 개인정보·금융정보가 노출될 경우 GDPR, PCI‑DSS 등 법적 제재 위험이 발생합니다.
  • 신뢰도: 대규모 Linux 인프라에서의 취약점 활용은 고객 신뢰 저하와 브랜드 이미지 손상을 초래할 수 있습니다.
• 영향 제품·노출 규모
  • 영향을 받는 커널 버전: 2.6.26‑5.4.291, 5.5‑5.10.235, 5.11‑5.15.179, 5.16‑6.1.129, 6.2‑6.6.79, 6.7‑6.12.16, 6.13‑6.13.4 및 이후 모든 버전.
  • 위 범위는 데스크톱, 서버, 클라우드, 컨테이너, IoT 등 Linux 기반 환경 전반에 걸쳐 배포되어 있어 공급망 차원의 광범위한 노출 가능성이 높습니다(다중 소스 교차검증 결과 일관성 확인, 신뢰도 1.0).
  • EPSS = 0.33417(≈33 %)은 현재 관측된 실제 악용 확률이 중간 수준임을 나타내며, 이는 “moderate” 등급의 exploit 가능성을 뒷받침합니다.

추정: 이 결함과 동일한 Use‑After‑Free(CWE‑416) 및 RCU 보호 누락(CWE‑662) 패턴을 이용한 다른 커널 메모리 손상 취약점과 연계될 수 있습니다. 이러한 유형은 권한 상승 단계와 조합돼 지속성 확보 등에 활용될 가능성이 존재합니다.

• 커널 로그에서 ndisc_send_skb 와 관련된 use‑after‑free 또는 null pointer dereference 메시지가 기록되는 경우
  • 예시 정규식: .*ndisc_send_skb.*use after free.*
• RCU 불일치 경고(rcu_sched stall)와 동시 발생 시 의심.
• 네트워크 레벨에서는 외부 소스로부터 짧은 간격으로 반복 전송되는 비정상적인 ICMPv6 ND 패킷을 모니터링합니다.

1. 즉시 조치: 배포된 최신 커널 업데이트를 적용하고 시스템을 재부팅하여 패치를 활성화합니다(패키지 매니저 사용).
2. 근본 해결: 해당 커널 버전에서 ndisc_send_skb() 에 대한 RCU 보호가 강화된 패치를 적용합니다. 필요 시 IPv6 Neighbor Discovery 기능을 제한하거나, SELinux/AppArmor 정책으로 커널 메모리 조작을 추가 방어할 수 있습니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=8.1 · non-KEV · EPSS=0.33417 · exploit=moderate · in_scope=None