[분석가] 분석 — CVE-2025-21731

• 심각도 high · CVSS 7.8 · EPSS 0.00219 · 악용난이도 hard

• 로컬 사용자가 NBD(netlink) 인터페이스를 이용해 nbd_genl_disconnect() 호출 → 내부 작업 큐가 플러시되고 nbd_config에 대한 참조 카운트가 비정상적으로 유지됩니다.
• 이어서 동일 세션에서 nbd_genl_reconfigure() 가 재연결을 시도하면, 이미 해제된 nbd_config 객체를 다시 큐에 넣어 Use‑After‑Free 를 발생시킵니다.
• 취약한 메모리 영역이 재사용되면서 공격자는 커널 주소 공간에서 임의 코드를 실행하거나 시스템을 강제로 중단할 수 있습니다.

악용 가능성: 이 취약점은 AV:L(로컬) 조건에서만 발동하므로, 공격자는 해당 시스템에 직접 접근할 수 있어야 합니다. AC:L 은 재연결·해제 순서를 조작하는 로직이 복잡하지 않아 비교적 낮은 기술 수준으로도 가능함을 의미합니다. PR:L 은 로컬 계정이라면 최소 권한(예: 일반 사용자)만으로도 nbd 구성 객체를 확보하고, 이후 UI:N 으로 사용자의 추가 입력 없이 자동으로 진행됩니다. EPSS가 0.00219 로 낮지만 0이 아니므로, 실제 환경에서 우연히 또는 자동화된 스크립트에 의해 악용될 가능성이 완전히 배제되지는 않습니다. KEV에 등재되지 않은 점은 현재까지 공개적인 악성 코드나 공격 캠페인에서 이 취약점을 이용한 사례가 보고되지 않았음을 나타냅니다. 공격 표면은 nbd 커널 모듈과 그와 연관된 genl 인터페이스, 특히 disconnect/reconnect 워크큐 처리 로직이 노출되는 시스템에서만 존재합니다. 따라서 이 취약점의 난이도는 “hard”으로 평가되며, 실제 악용 가능성은 낮지만 완전히 무시할 수 없는 수준이라고 볼 수 있습니다.

• 기술적 위험

  • 커널 메모리 손상 → 임의 코드 실행 (권한 상승, 루트 권한 획득)
  • 서비스 거부(DoS) 가능성: 커널 패닉 발생 시 시스템 가용성이 완전히 상실됩니다.
  • 데이터 무결성·기밀성 위협: 공격자는 메모리 내 민감 정보를 직접 읽거나 변조할 수 있습니다.

• 비즈니스 위험

  • 가용성 손실 → 서비스 중단 및 복구 비용 증가.
  • 규제·컴플라이언스 위반 가능성(예: PCI‑DSS, HIPAA 등) – 커널 수준 침해는 데이터 보호 요구사항을 충족하지 못함.
  • 고객 신뢰도 저하 및 브랜드 이미지 손상.

• 영향 범위

  • 영향 제품: Linux kernel 4.12‑5.4.291, 5.5‑5.10.235, 5.11‑5.15.179, 5.16‑6.1.129, 6.2‑6.6.76, 6.7‑6.12.13, 6.13‑6.13.2 (총 7개 버전대).
  • 다중 소스에서 일관성이 확인되었으며(교차검증 신뢰도 1.0), 공급망 특성상 해당 커널을 사용 중인 서버·컨테이너·IoT 디바이스 전반에 영향을 미칠 수 있습니다.

• 악용 가능성

  • EPSS = 0.00219(백분위 0.12527) 로 실측 악용 확률은 낮지만, 로컬 권한만으로 실행 가능하고 복

• 동일한 메모리 손상·Use‑After‑Free 패턴을 보이는 과거 NBD 관련 CVE(예: CVE-2019-14615)와 연계될 수 있다.
• 커널 워크큐 플러시와 netlink 재구성 로직을 악용하는 다른 권한 상승 취약점과 조합 시 초기 접근 단계가 단순화될 가능성이 있다[추정:].

• 커널 로그에 nbd: disconnect 후 즉시 nbd_genl_reconfigure 가 호출되는 패턴이 나타나는 경우.
• OOPS/BUG 보고서에서 nbd_config_put 이후 발생하는 null‑pointer dereference 또는 use‑after‑free 스택 트레이스.
• Auditd 혹은 eBPF 기반 모니터링으로 nbd netlink 메시지(NBD_GENL_RECONFIGURE)와 워크큐 큐잉(queue_work on recv_workq)가 비정상적으로 연속되는 이벤트를 감시한다.

1. 즉시 조치

   • NBD 모듈이 필요 없을 경우 modprobe -r nbd 로 언로드하거나, /etc/modprobe.d/disable-nbd.conf 에 blacklist nbd 추가.
   • netlink 접근 권한을 제한하고, 불필요한 CAP_NET_ADMIN 권한을 차단한다.

2. 근본 해결

   • 커널 공급업체가 제공하는 패치를 적용한다(해당 패치는 nbd_genl_disconnect() 에서 NBD_RT_BOUND 플래그를 클리어하도록 수정).
   • 각 버전 라인에 대해 최신 보안 업데이트된 커널(예: 5.15.179‑plus, 6.13.2‑plus)으로 업그레이드한다.
   • Livepatch/KernelCare 등 실시간 패치 솔루션이 제공되는 경우 해당 패치를 즉시 적용한다.

3. 사후 검증

   • 패치 적용 후 nbd 관련 워크큐 플러시와 재구성 흐름을 테스트하여 Use‑After‑Free가 발생하지 않는지 확인한다.
   • 시스템 재부팅 없이 커널 모듈 상태를 점검하고, 로그에 이상 징후가 없는지 지속적으로 모니터링한다.

우선순위 판단 근거: 다중 소스에서 일관성이 확인됐으며[교차검증] CVSS 7.8·AV:L·AC:L·PR:L·UI:N·S:U·C:H·I:H·A:H 로 높은 심각도, EPSS=0.00219(실측 악용 가능성은 낮지만 완전히 배제할 수 없음)[실측 악용예측]이며, KEV에 등재되지 않았으나 규칙 기반 우선순위 모델이 “scheduled (이번 주 내)” 로 지정하였다[우선순위 결정]. 따라서 신속한 패치·모듈 비활성화가 권고된다.

• 조치: scheduled (이번 주 내)
• 근거: CVSS=7.8 · non-KEV · EPSS=0.00219 · exploit=hard · in_scope=None