[방어] 분석 — CVE-2025-21764

• 심각도 high · CVSS 7.8 · EPSS 0.00258 · 악용난이도 hard

1. 로컬 사용자가 Netlink(RTM_GETNEIGH 등) 요청을 전송한다.
2. 커널 내부에서 ndisc_alloc_skb() 가 RCU 보호 없이 호출되어 할당된 SKB가 해제될 수 있다 (UAF).
3. 공격자는 해제된 메모리 영역에 임의 데이터를 재배치하여 커널 주소 공간을 조작하고, 특권 코드 실행 또는 시스템 크래시를 유발한다.

악용 가능성: CVSS 벡터 AV:L/AC:L/PR:L/UI:N 은 공격자가 로컬 환경에서 낮은 복잡도 로, 저권한(또는 루트) 사용자 를 필요로 하며 사용자 인터랙션이 전혀 없는 상황을 의미합니다. 실제로 이 취약점은 ndisc_alloc_skb() 가 RTNL이나 RCU 보호 없이 호출될 때 발생하므로, 공격자는 커널 네트워크 스택에 직접 접근하거나 모듈·드라이버를 로드할 수 있는 로컬 코드 실행 권한이 있어야 합니다. EPSS = 0.00258 은 현재까지 관측된 실제 악용 사례가 매우 적지만 완전히 배제되지 않음을 보여주며, KEV에 등재되지 않은 점은 아직 공개적인 공격 체인이 존재하지 않음을 의미합니다. 노출되는 공격 표면은 IPv6 Neighbor Discovery (ND) 처리 경로이며, 네트워크 인터페이스를 통해 들어오는 ND 패킷이 ndisc_alloc_skb() 를 호출할 때 트리거됩니다. 트리거 조건은 특수히 조작된 IPv6 ND 메시지를 전송해 해당 함수가 RCU 보호 없이 skb 를 할당·해제하도록 유도하고, 동시에 다른 스레드가 동일 객체를 해제함으로써 UAF(Use‑After‑Free)

• 특권 상승: 성공 시 로컬 사용자가 루트 권한을 획득할 수 있다.
• 서비스 거부(DoS): UAF가 발생하면 커널 패닉이 일어나 호스트 전체가 재부팅된다.
• 데이터 무결성 손상: 메모리 오염으로 인한 임의 데이터 조작·유출 가능성이 존재한다.

• 동일 네트워크 스택에서 발생하는 다른 Use‑After‑Free (CWE‑416) 또는 Heap‑Overflow (CWE‑122) 유형의 메모리 손상 버그와 연계될 수 있다.
• 추정: 이러한 버그들은 Netlink 통신을 이용한 권한 상승 체인에 자주 활용되며, 기존 커널 패치가 적용되지 않은 경우 연

• 로그 지표

  • dmesg / kernel.log 에서 “UAF”, “use after free”, “BUG: kernel NULL pointer dereference” 등 문자열이 포함된 커널 오버플로/패닉 메시지.
  • auditd 의 type=PROCTITLE 로 기록되는 ndisc_alloc_skb 를 호출한 프로세스(주로 systemd-networkd, NetworkManager)와 그 직후 발생하는 execve 이벤트.

• SIEM 탐지 규칙 예시

  1. Kernel Oops 탐지

     • Source: /var/log/kern.log
     • Condition: message MATCHES "BUG:.*use after free|UAF"
     • Threshold: 발생 건수 ≥ 1 within 5 min → Alert “Possible CVE-2025-21764 exploitation”.

  2. IPv6 Neighbor Discovery 이상 트래픽

     • Source: NetFlow / Zeek icmpv6 logs
     • Condition: icmpv6.type == 135 AND icmpv6.code == 0 AND packet.size > 1500 (비정상적으로 큰 NDP 패킷)
     • Threshold: ≥ 3 events from 동일 src IP within 1 min → Alert “Suspicious NDP traffic – potential ndisc_alloc_skb trigger”.

  3. 프로세스 연쇄 탐지

     • Source: audit.log
     • Pseudocode:

 1if event.type == "SYSCALL" and syscall.name == "ndisc_alloc_skb":
 2    record timestamp T
 3if later event.type == "EXECVE" and event.timestamp - T < 30s:
 4    raise alert

• 오탐 튜닝
  • 정상적인 NDP 패킷(예: LAN 내 라우터 광고)은 크기가 작고 규칙적으로 발생하므로, 위 2번 규칙에서 packet.size 임계값을 실제 환경 평균보다 2‑3배 정도 높은 값으로 조정합니다.
  • 커널 Oops는 디버깅 단계에서도 빈번히 기록될 수 있으니, “UAF” 문자열만이 아니라 해당 함수명(ndisc_alloc_skb)이 포함된 경우에 한해 알림을 제한합니다.

• 즉시(긴급 차단)

  • IPv6 비활성화: sysctl -w net.ipv6.conf.all.disable_ipv6=1 && sysctl -w net.ipv6.conf.default.disable_ipv6=1 혹은 부팅 시 커널 파라미터 ipv6.disable=1을 추가합니다.
    • 구현 난이도: ★☆☆ (단일 명령)
    • 운영 영향: IPv6를 필요로 하는 서비스(클라우드 내부 통신, 일부 컨테이너 오버레이 등)가 중단될 수 있음 → 영향을 받는 시스템에 사전 확인 권장.
    • 검증 방법: sysctl net.ipv6.conf.all.disable_ipv6 값이 1인지 확인하고, ping6 ::1 명령이 실패하는지 테스트합니다.

• 단기(완화)

  1. RCU 보호 임시 패치 적용 – 커널 소스 트리에서 ndisc_alloc_skb() 함수에 rcu_read_lock(); … rcu_read_unlock(); 를 삽입한 백포트 패치를 자체 빌드 후 적용합니다. (배포가 어려운 경우, 해당 파일(net/ipv6/ndisc.c)만 재컴파일하여 모듈 교체).

     • 구현 난이도: ★★☆ (소스 컴파일 필요)
     • 운영 영향: 커널 재부팅 필요, 일시적 서비스 중단.
     • 검증 방법: grep -n "rcu_read_lock" /boot/config-$(uname -r) 로 패치 적용 여부 확인 및 정상 부팅 후 dmesg에 오류가 없는지 점검.

  2. Audit 정책 강화 – auditctl -a always,exit -F arch=b64 -S all -F exe=/usr/sbin/NetworkManager -k ndisc_audit 로 NDP 관련 프로세스 호출을 기록하고, 이상 징후가 감지되면 자동 차단 스크립트를 트리거합니다.

     • 구현 난이도: ★★☆
     • 운영 영향: 로그 양 증가 (디스크 사용량 주시).

• 근본(해결)

  • 공식 패치 적용: 배포된 커널 업데이트(≥ 96fc896d0e5b37c12808df797397fb16f3080879)를 설치하고, 시스템을 재부팅합니다.
    • 구현 난이도: ★☆☆ (패키지 매니저 사용)
    • 운영 영향: 정상적인 재부팅 절차와 동일, 보안 업데이트 적용 후 서비스 가용성 회복.
    • 검증 방법: uname -r 로 커널 버전 확인 및 grep CVE-2025-21764 /usr/share/doc/*/changelog* 로 패치 포함 여부 확인.

• 잔여 리스크

  • 공식 패치를 적용하더라도, 동일한 코드 경로를 이용한 변형 공격이 존재할 가능성이 있으므로, 위 탐지 규칙을 지속적으로 운영하고 커널 로그 모니터링을 유지해야 합니다.

• 인시던트 대응 플레이북

  1. 알림 수신 → 해당 호스트의 dmesg와 audit.log에서 “UAF”·ndisc_alloc_skb 관련 항목 확인.
  2. 즉시 IPv6 비활성화 조치 수행 여부 점검, 이미 적용돼 있지 않다면 즉시 실행.
  3. 의심되는 프로세스(예: NetworkManager)를 격리하고 메모리 덤프 수집 후 포렌식 분석.
  4. 패치를 적용할 수 없는 경우, 백포트 RCU 보호 임시 패치를 배포하고 재부팅.
  5. 사후 보고서 작성 시 EPSS 0.00258(실측 악용 가능성)과 CVSS 7.8(높은 심각도)을 근거로 위험 등급을 “high”로 기록하고, 교차검증 결과(다중 소스 일관성 확인)와 우선순위 논리(CVSS·EPSS·non‑KEV)를 명시합니다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00258 · exploit=hard · in_scope=None