[분석가] 분석 — CVE-2026-23154

• 심각도 medium · CVSS 5.5 · EPSS 0.00115 · 악용난이도 hard

• 촉발 경로: IPv6-only 업스트림 인터페이스를 가진 핫스팟 환경에서 스테이션이 IPv4 서버에 접근할 때 발생합니다.
• 작동 원리: XLAT(IPv4/IPv6 프로토콜 변환) 과정에서 헤더만 변환되고 frag_list 내의 SKB들은 변환되지 않은 채 남게 됩니다. 이때 skb_segment_list 함수가 이를 올바르게 처리하지 못해 프로토콜 불일치가 발생하며, 결과적으로 GSO(Generic Segmentation Offload) 세그멘테이션 오류로 이어집니다.
• 최종 단계: 시스템이 정상적인 패킷 전송 대신 비효율적인 경로를 택하거나 패킷 처리에 실패하여 네트워크 처리량(Throughput)이 급격히 저하됩니다.

악용 가능성: 본 취약점은 Linux 커널의 skb_segment_list 함수에서 GRO(Generic Receive Offload) 패킷의 세그멘테이션 처리 오류로 인해 발생하며, 공격 난이도는 Hard로 평가됩니다. CVSS 벡터상 AV:L 및 PR:L 조건에 따라, 공격자는 대상 시스템에 이미 낮은 권한의 계정으로 접근해 있어야 하며 로컬 환경에서만 트리거가 가능합니다. 공격 표면은 네트워크 스택 내 IPv4-IPv6 XLAT(Translation) 과정과 frag_list를 포함한 GSO 패킷 처리 로직에 국한됩니다. EPSS 수치가 0.00115로 매우 낮고 KEV(Known Exploited Vulnerabilities)에 등재되지 않은 점은, 이론적인 결함에도 불구하고 실제 야생(In-the-wild)에서 악용된 사례가 거의 없음을 시사합니다. 결과적으로 특정 네트워크 구성(IPv6 전용 업스트림 인터페이스를 가진 핫스팟 환경 등)과 정교한 패킷 조작이 동시에 충족되어야 하므로, 일반적인 환경에서의 즉각적인 악용 가능성은 낮을 것으로 분석됩니다.

• 기술적 위험: 본 취약점은 원격 코드 실행(RCE)이나 권한 상승과 같은 직접적인 제어권 탈취보다는 **가용성 저하(Availability Degradation)**에 집중되어 있습니다. 구체적으로는 네트워크 스택의 효율성 상실로 인한 전송 속도 저하 및 패킷 처리 지연이 발생합니다.
• 비즈니스 리스크:
  • 서비스 품질 저하: IPv4/IPv6 혼용 환경(XLAT 사용 환경)에서 네트워크 성능 저하로 인한 사용자 경험 악화 및 서비스 응답 시간 증가가 예상됩니다.
  • 노출 규모: Linux kernel 5.6부터 6.18.9까지 광범위한 버전이 영향권에 있어, 해당 커널을 사용하는 다수의 인프라 및 임베디드 장비가 잠재적 영향 범위에 포함됩니다. 다만, 특정 네트워크 구성(IPv6-only 업스트림 + XLAT)에서만 발현되므로 실제 체감 리스크는 제한적입니다.

• 패턴: 커널 네트워크 스택의 GSO/GRO 처리 미흡으로 인한 성능 저하 및 DoS(Denial of Service) 패턴과 유사합니다.
• 체이닝 가능성: 단독으로는 낮은 심각도를 가지나, 추정: 다른 네트워크 스택 취약점과 결합하여 특정 트래픽 상황을 유도함으로써 시스템 자원을 고갈시키는 방식으로 활용될 가능성이 있습니다.

• 네트워크 지표: IPv4-to-IPv6 변환 구간에서 비정상적으로 낮은 Throughput 및 패킷 재전송률 증가 확인.
• 커널 로그/패턴: SKB_GSO_DODGY 플래그 설정 이후 skb_segment로의 폴백(Fallback) 발생 빈도 모니터링.
• 탐지 예시 (개념): XLAT 헬퍼 함수(bpf_skb_proto_4_to_6, bpf_skb_proto_6_to_4) 호출 시 frag_list가 포함된 패킷의 처리 지연 시간 측정.

• 근본 해결: 영향받는 Linux 커널 버전을 최신 보안 패치가 적용된 버전으로 업데이트하여 SKB_GSO_DODGY 플래그 처리 로직을 반영합니다.
• 즉시 조치:
  • 다중 소스 교차검증 결과 데이터 일관성이 확인되었으며, EPSS(0.00115) 수치가 매우 낮고 악용 난이도가 hard로 평가되므로 즉각적인 긴급 패치보다는 정기 업데이트 주기 내 반영하는 모니터링(monitor) 전략을 권고합니다.
  • 해당 우선순위는 CVSS 5.5 및 KEV 미등재, 낮은 EPSS 실측값을 근거로 한 규칙 기반 결정 결과입니다.

• 조치: monitor (모니터링)
• 근거: CVSS=5.5 · non-KEV · EPSS=0.00115 · exploit=hard · in_scope=None