[단독분석] 분석 — CVE-2025-21648

• 심각도 medium · CVSS 5.5 · EPSS 0.00215 · 악용난이도 hard

• 경로: 로컬 권한(AV:L, PR:L)을 가진 사용자가 netfilter 내 conntrack 설정을 조작하여 촉발됩니다.
• 원리: conntrack hashtable 크기 조정 시 최대치 제한이 없어, 매우 큰 값을 설정하면 __kvmalloc_node_noprof() 함수 호출 과정에서 __GFP_NOWARN 플래그가 해제된 상태로 WARN_ON_ONCE를 트리거합니다.
• 단계: Local 권한 획득 $\rightarrow$ init_netns 컨텍스트 내 hashtable resize 시도 $\rightarrow$ 과도한 메모리 할당 요청 $\rightarrow$ 커널 경고 발생 및 시스템 불안정성 유발.

악용 가능성: 본 취약점은 공격 난이도가 매우 높으며(Hard), 실제 악용 가능성은 극히 낮은 것으로 분석됩니다. CVSS 벡터 AV:L/PR:L에 따라, 공격자는 대상 시스템의 로컬 셸 권한을 이미 확보한 상태여야 하며, 커널 내부의 conntrack 해시 테이블 크기를 조작할 수 있는 특정 권한이 전제되어야 합니다. 특히 트리거 조건이 init_netns(초기 네트워크 네임스페이스)에서의 해시 테이블 리사이징으로 제한되어 있어, 일반 사용자 권한으로는 공격 표면에 접근하기 어렵습니다. EPSS 수치가 0.00215로 매우 낮고 KEV에 등재되지 않은 점은, 이론적인 취약점 존재 여부와 별개로 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 공격 표면은 Linux 커널의 netfilter 모듈 내 conntrack 해시 테이블 관리 파라미터에 국한됩니다. 결과적으로 본 취약점은 특정 조건 하에서의 커널 경고(WARN_ON_ONCE)를 유발하는 특성을 가지며, 원격에서 즉각적으로 실행 가능한 공격 경로가 부재하여 실질적인 위협 수준은 낮습니다.

• 기술적 위험: 본 취약점은 기밀성(C)과 무결성(I)에는 영향을 주지 않으며, 가용성(A:H)에 국한됩니다. 공격 성공 시 커널 내 WARN_ON_ONCE가 발생하여 시스템 불안정성이 초래되거나 서비스 거부(DoS) 상태로 이어질 수 있습니다.
• 비즈니스 리스크: Linux Kernel 4.7.1부터 6.12.10까지 매우 광범위한 버전이 영향 범위에 포함되어 있어, 다수의 인프라 서버 및 컨테이너 호스트가 잠재적 노출 상태입니다. 다만, init_netns 환경에서의 조작이 필요하므로 일반적인 사용자 계정보다는 네트워크 네임스페이스 제어 권한을 가진 특수 상황에서 리스크가 현실화됩니다.
• 분석 근거: 다중 소스 데이터 간의 일관성이 확인되어 신뢰도가 높으며(1.0), CVSS 5.5(Medium)로 산정되었습니다.

• 메모리 할당 제한 미비로 인한 리소스 고갈 패턴에 해당합니다. 추정: 다른 Local Privilege Escalation(LPE) 취약점과 체이닝될 경우, 시스템 불안정성을 유도하여 보안 메커니즘을 무력화하는 보조 수단으로 활용될 가능성이 있습니다.

• 로그 분석: dmesg 또는 /var/log/syslog에서 __kvmalloc_node_noprof()와 관련된 WARN_ON_ONCE 경고 및 Stack Trace를 모니터링합니다.
• 행위 감시: netfilter 관련 커널 파라미터 중 conntrack 테이블 크기를 비정상적으로 크게 수정하려는 시도를 추적합니다.

• 근본 해결: 영향 범위 내 Linux Kernel 버전을 최신 패치 버전으로 업데이트하여 hashtable 최대 크기가 INT_MAX로 제한되도록 조치하십시오.
• 대응 우선순위: monitor(모니터링) 수준의 대응을 권고합니다. 이는 CVSS 5.5(Medium) 및 non-KEV 상태이며, 특히 실측 기반 EPSS 수치가 0.00215(백분위 0.11924)로 매우 낮아 실제 야생에서의 악용 확률이 극히 희박하고 공격 난이도가 hard라는 규칙 기반 판단에 근거합니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00215 · exploit=hard · in_scope=None