[단독분석] 분석 — CVE-2025-68206
This vulnerability in the Linux kernel's netfilter nft_ct module requires a patch to ensure proper TCP sequence adjustment for natted FTP connections, though current exploitability is assessed as low.
📋 요약
- 심각도 미상 · CVSS 미상 · EPSS 0.00203 · 악용난이도 hard
🔍 공격 기법
- 원리: Linux kernel의
netfilter내nft_ct모듈에서 NAT(Network Address Translation)가 적용된 연결에 대한 Sequence Adjustment 처리가 미흡한 점을 이용합니다. - 경로: FTP의 PASV/EPSV 모드 사용 시, 제어 연결의 페이로드(IP, Port 정보)를 재작성해야 하며 이 과정에서 TCP 길이 변화가 발생합니다. 이때
seq및ack_seq번호가 적절히 조정되지 않으면 세션 불일치가 발생할 수 있습니다. - 단계: 1) NAT 환경의 FTP 서버/클라이언트 구성 $\rightarrow$ 2) PASV/EPSV 모드 요청 $\rightarrow$ 3) 페이로드 변경에 따른 TCP 시퀀스 번호 불일치 유발.
악용 가능성: 본 취약점은 Linux kernel 내 netfilter의 nft_ct 모듈에서 FTP PASV/EPSV 모드 사용 시 TCP Sequence Adjustment가 제대로 이루어지지 않아 발생하는 결함입니다. 공격자가 이를 악용하려면 대상 시스템이 특정 nftables 규칙셋(FTP helper 및 NAT 설정)을 활성화한 상태여야 하며, 네트워크 패킷의 Payload를 직접 조작하여 TCP sequence/acknowledgment 번호를 정밀하게 제어해야 하므로 공격 난이도는 Hard로 판단됩니다. 공격 표면은 FTP 제어 연결(TCP port 21)과 이에 수반되는 NAT 처리 엔드포인트이며, 특히 ftp_helper가 적용된 네트워크 경계 지점이 주요 타겟이 됩니다. EPSS 수치는 0.00203으로 매우 낮고 KEV에 등재되지 않은 점은 현재 야생(In-the-wild)에서의 광범위한 악용 사례가 미관측되었음을 시사합니다. 따라서 이론적인 심각도와 달리, 실제 공격을 위해서는 정교한 패킷 크래프팅 기술과 특정 커널 설정이라는 전제 조건이 동시에 충족되어야 하므로 즉각적인 대규모 악용 가능성은 낮은 것으로 분석됩니다.
💥 영향 분석
- 기술적 위험:
- 서비스 가용성 저하: NAT 환경에서 FTP 데이터 채널 연결 시 TCP 시퀀스 번호가 맞지 않아 패킷 드롭이나 세션 끊김이 발생하며, 결과적으로 FTP 파일 전송 기능이 정상 작동하지 않을 수 있습니다.
- 추정: 특정 조건에서 비정상적인 패킷 주입을 통한 세션 하이재킹 가능성을 배제할 수 없으나, 본 리포트의 근거만으로는 단순 기능 장애(DoS 성격)의 위험이 더 높습니다.
- 비즈니스 리스크:
- 가용성 영향: 레거시 FTP 서비스를 NAT 환경에서 운영하는 기업의 경우, 데이터 전송 실패로 인한 업무 프로세스 중단 및 서비스 신뢰도 하락이 발생할 수 있습니다.
- 노출 규모: Linux kernel을 사용하며
nftables기반의 FTP NAT 설정을 적용한 시스템으로 한정됩니다.
🔗 관련 취약점·체이닝
- TCP 시퀀스 번호 예측 또는 조작과 관련된 네트워크 스택 취약점과 체이닝될 가능성이 있습니다. 특히 NAT 헬퍼(Helper) 모듈의 페이로드 수정 로직 결함 패턴에 해당합니다.
🔎 탐지
- 로그 분석: 커널 로그(
dmesg)에서netfilter또는nft_ct관련 에러 메시지 및 TCP Out-of-Order 패킷 급증 확인. - 트래픽 패턴: FTP 제어 채널(TCP 21) 이후 데이터 채널 연결 시, SYN 패킷의 Sequence Number가 NAT 장비 통과 전후로 불일치하는 현상 모니터링.
🛡️ 완화 방안
- 근본 해결:
nft_ct에seqadj확장이 추가된 최신 Linux kernel 패치를 적용하여 natted 연결의 시퀀스 조정 기능을 활성화합니다. - 즉시 조치:
- 취약한 NAT 규칙(ftp_helper 및 dnat/snat 설정) 사용을 지양하고, 가능한 경우 암호화된 전송 프로토콜(SFTP, FTPS)로 전환하여 페이로드 수정 필요성을 제거합니다.
분석 근거: 본 리포트는 다중 소스 교차검증을 통해 데이터 일관성이 확인되었으며(신뢰도 1.0), 실측 EPSS 값(0.00203, 백분위 0.10547)을 통해 실제 야생에서의 악용 가능성이 매우 낮음을 확인했습니다. 이에 따라 KEV 미등재 및 Exploit 난이도(Hard)를 종합하여 우선순위를 'monitor'로 결정하였습니다.
⚖️ 위험도 / 우선순위
- 조치: monitor (모니터링)
- 근거: CVSS=미상 · non-KEV · EPSS=0.00203 · exploit=hard · in_scope=None