[공격] 분석 — CVE-2026-64531

• 심각도 high · CVSS 7.8 · EPSS 0.00129 · 악용난이도 hard

• 공격 전제: 공격자는 동일 커널 버전(057dbc5b… ≤ x < ab8556… 또는 6.14)에서 Open vSwitch가 로드된 상태임을 확인해야 함. (다중 소스에서 일관성이 확인됐다)
• 정찰: uname -r, modinfo openvswitch 등으로 커널 및 OVS 모듈 버전 파악. Netlink 인터페이스(ovs-vsctl, ovs-ofctl)가 활성화돼 있는지 확인.
• 초기 접근 / 트리거 조건
  • CVSS 벡터 AV:L/AC:L/PR:L/UI:N에 맞게 로컬에서 특권이 낮은 사용자 권한만으로 netlink 메시지를 전송.
  • OVS flow 추가 명령(ovs-ofctl add-flow …) 혹은 직접 Netlink 소켓을 이용해 oversized nested action attribute를 포함시킴.
  • 핵심 취약점: nla_len 필드가 u16이지만, 커밋 a1e64addf3ff 이후 전체 sw_flow_actions 스트림이 64 KiB를 초과해도 최종 nested 컨테이너의 nla_len 검증이 사라짐. 따라서 공격자는 U16_MAX+1 바이트 이상의 액션을 삽입하고, 커널은 잘린 nla_len을 사용해 이후 바이트들을 독립적인 액션으로 해석함.
• 실행·권한 획득
  • 오버플로우된 영역에 공격자가 조작한 임의 코드(예: ROP 체인, 커널 함수 포인터) 혹은 기존 커널 구조체를 덮어씌워 커널 권한 상승을 달성.
  • 성공 시 root 권한을 획득하거나 보안 모듈(BPF, SELinux) 우회가 가능.
• 지속·영향
  • 커널 패치 전까지 재부팅해도 동일 취약점이 남아 있어 지속적인 로컬 권한 상승 경로 제공.
  • 성공적인 악용은 시스템 전체 장악(Confidentiality, Integrity, Availability 모두 파괴)으로 이어짐 (CVSS C:H/I:H/A:H).

악용 가능성: 이 취약점은 AV:L (로컬) 조건에서만 발동되므로 공격자는 대상 시스템에 직접 접근해야 하며, PR:L (낮은 권한) 요구는 CAP_NET_ADMIN 권한 정도면 충분합니다. AC:L (낮은 복잡도) 덕분에 특수한 사전 지식 없이도 ovs‑vswitchd 가 수신하는 Netlink 메시지의 action 속성을 조작해 nla_len 필드를 과다하게 설정할 수 있습니다; 이때 UI:N (사용자 개입 없음)이라 별도의 클릭이나 입력이 필요하지 않습니다. EPSS = 0.00129 라는 실측값은 현재까지 실제 공격 사례가 매우 드물지만, 완전히 무시할 수준은 아니며, KEV 미등재는 아직 대규모 악용이 보고되지 않았음을 의미합니다. 트리거 조건은 Open vSwitch의 flow‑action 스트림에 64 KiB를 초과하는 중첩 액션을 삽입하고, 마지막 가드가 제거된 상태에서 잘라낸 nla_len 값으로 덤프·해제 시 구조가 변형되는 점입니다. 공격 표면은 ovs‑vswitchd 가 바인딩한 로컬 Unix 소켓(또는 관리용 TCP 포트)과, ovs‑db 와의 Netlink 인터페이스이며, 해당 엔드포인트에 접근 가능한 프로세스만 있으면 조작이 가능합니다. 따라서 공격 난이도는 “hard”(로컬 권한 필요·특정 가드 제거 전제)으로 평가되지만, 조건을 만족하면 메모리 구조를 오해석시켜 임의 코드 실행이나 커널 권한 상승까지 이어질 수 있습니다.

• 권한 상승: 로컬 비특권 사용자 → root/커널 권한.
• 시스템 안정성 파괴: 메모리 손상에 따른 커널 패닉·BSOD 발생 가능.
• 데이터 유출 및 변조: 커널 메모리에 직접 접근함으로써 모든 파일, 네트워크 트래픽, 암호키 등에 무제한 접근.

• CWE‑787 / CWE‑119 (Out‑of‑bounds Write/Improper Restriction of Operations within the Bounds of a Memory Buffer): 이 유형은 메모리 길이 검증 부재와 직접 연관됨.
• 추정: 동일 커널에 존재하는 다른 Netlink 기반 취약점(CWE‑20 입력 검증 오류 등)과 결합하면, 초기 탐색 단계에서 권한 상승 없이도 시스템 정보를 수집하거나, 이후 RCE를 위한 메모리 매핑을 준비할 수 있음.
• 추정: OVS 사용자 공간 프로세스가 SELinux/AppArmor 제한을 우회하도록 설계된 경우, 이 커널 취약점은 해당 제한을 무력화하는 privilege‑escalation → confinement‑bypass 체인을 완성한다.

• 커널 로그: ovs 혹은 netlink 관련 OOPS/BUG 메시지, 특히 “invalid nla_len” 또는 “truncated nested attribute”와 같은 문자열.
• Auditd: openvswitch netlink 호출(socket(AF_NETLINK, SOCK_RAW, NETLINK_GENERIC))이 비특권 UID에서 발생한 이벤트.
• 시스템 콜 모니터링: sendmsg/recvmsg 로 전송되는 Netlink 페이로드 크기가 64 KiB를 초과하는 경우 경고.

1. 패치 적용: 공급자가 제공한 커밋 a1e64addf3ff 이후의 보안 패치를 포함한 최신 Linux 커널(6.14 이상)으로 업데이트.
2. 임시 방어: sysctl -w net.netfilter.nf_conntrack_max=... 등으로 Open vSwitch 흐름 크기 제한을 낮추고, ovs-vsctl --no-wait set Open_vSwitch . other_config:max-idle=30와 같은 OVS 설정으로 대형 액션 스트림 생성을 방지.
3. 권한 최소화: OVS 데몬 및 관련 사용자 공간 도구를 전용 비특권 계정·컨테이너에서 실행하고, SELinux/AppArmor 프로파일을 강화.
4. 모니터링: 위 탐지 지표를 SIEM에 연동해 실시간 알림 설정.

(본 보고서는 다중 소스 교차검증·실측 EPSS 0.00129·우선순위 규칙 기반 판단 결과이며, 이번 주 내 대응을 권고합니다.)

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00129 · exploit=hard · in_scope=None